CVE-2026-94609

सारांश

authentik एक ओपन-सोर्स आइडेंटिटी प्रोवाइडर है। 2026.2.7, 2026.5.7, और 2026.8.2 से पहले, किसी समूह, समूह सदस्यता, या उपयोगकर्ता को प्रबंधित करने के लिए प्रत्यायोजित अनुमति वाला खाता किसी खाते को सुपरयूज़र दर्जा दे सकता है या किसी समूह को मौजूदा भूमिका सौंप सकता है, बिना उन विशेषाधिकारों को नियंत्रित करने वाली अनुमतियाँ रखे। समूह पदानुक्रम जाँचें पूर्वज समूहों से विरासत में मिले सुपरयूज़र दर्जे को लगातार ध्यान में नहीं रखती हैं, और किसी समूह को भूमिका सौंपने में आवश्यक प्राधिकरण जाँच का अभाव है। केवल वे परिनियोजन प्रभावित हैं जो इन प्रबंधन क्षमताओं को उन खातों को प्रत्यायोजित करते हैं जो पूर्ण प्रशासक नहीं हैं। यह समस्या संस्करण 2026.2.7, 2026.5.7, और 2026.8.2 में ठीक कर दी गई है।

स्रोत

• CVE-2026-94609PoC

  CVE-2026-94609 के लिए राइट-अप और प्रूफ-ऑफ-कॉन्सेप्ट, एक authentik विशेषाधिकार-वृद्धि दोष जो add_user_to_group वाले उपयोगकर्ताओं को Groups API के माध्यम से सुपरयूज़र समूहों में शामिल होने देता है।