CVE

Vulnerabilidad en Authentik (CVE-2024-21637)

Severidad:

MEDIA

Type:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

11/01/2024

Última modificación:

16/01/2024

Descripción

Authentik es un proveedor de identidades de código abierto. Authentik es afectado por una vulnerabilidad de cross site scripting reflejada a través de URI de JavaScript en flujos de OpenID Connect con `response_mode=form_post`. Este relativamente usuario podría utilizar los ataques descritos para realizar una escalada de privilegios. Esta vulnerabilidad ha sido parcheada en las versiones 2023.10.6 y 2023.8.6.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

5.40

Severidad 3.x

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:goauthentik:authentik::::::::	2023.8.0 (incluyendo)	2023.8.6 (excluyendo)
cpe:2.3:a:goauthentik:authentik::::::::	2023.10.0 (incluyendo)	2023.10.6 (excluyendo)