NVD / CVE Program· CNA GitHub_M

CVE-2025-53942: authentik has an insufficient check for account active status during OAuth/SAML authentication

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 28/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,57% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: goauthentik.io (Go) 0.0.0-20250722122105-7a4c6b9b50f8; govulncheck-vulndb (openSUSE:Leap 15.6) 0.0.20250814T182633-150000.1.98.1; govulncheck-vulndb (openSUSE:Tumbleweed) 0.0.20250811T192933-1.1.

Пока низкий приоритет. Обновитесь до goauthentik.io (Go) 0.0.0-20250722122105-7a4c6b9b50f8; govulncheck-vulndb (openSUSE:Leap 15.6) 0.0.20250814T182633-150000.1.98.1; govulncheck-vulndb (openSUSE:Tumbleweed) 0.0.20250811T192933-1.1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

authentik is an open-source Identity Provider that emphasizes flexibility and versatility, with support for a wide set of protocols. In versions 2025.4.4 and earlier, as well as versions 2025.6.0-rc1 through 2025.6.3, deactivated users who registered through OAuth/SAML or linked their accounts to OAuth/SAML providers can still retain partial access to the system despite their accounts being deactivated. They end up in a half-authenticated state where they cannot access the API but crucially they can authorize applications if they know the URL of the application. To workaround this issue, developers can add an expression policy to the user login stage on the respective authentication flow with the expression of return request.context["pending_user"].is_active. This modification ensures that the return statement only activates the user login stage when the user is active. This issue is fixed in versions authentik 2025.4.4 and 2025.6.4.

ВысокаяCVSS 7.1 · v4.0—Эксплойта нет Есть исправление

Без аутентификации

Опубликовано: 23 июл. 2025 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,5 % · 47-й процентиль
CWE: CWE-269

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 28 / 40 · 7.1 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,5 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_M: 7,1; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
goauthentik	authentik	cpe:2.3:a:goauthentik:authentik

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

goauthentik authentikдо 2025.4.4
goauthentik authentik2025.6.0 и новее · до 2025.6.4

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

goauthentik authentik
- <= 2025.4.3, < 2025.4.4, >= 2025.6.0-rc1, < 2025.6.4затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Go	goauthentik.io	с 0	—
Go	goauthentik.io	до 0.0.0-20250722122105-7a4c6b9b50f8	0.0.0-20250722122105-7a4c6b9b50f8
openSUSE:Leap 15.6	govulncheck-vulndb	до 0.0.20250814T182633-150000.1.98.1	0.0.20250814T182633-150000.1.98.1
openSUSE:Tumbleweed	govulncheck-vulndb	до 0.0.20250811T192933-1.1	0.0.20250811T192933-1.1
SUSE:Linux Enterprise Module for Package Hub 15 SP6	govulncheck-vulndb	до 0.0.20250814T182633-150000.1.98.1	0.0.20250814T182633-150000.1.98.1

Тот же продукт

goauthentik: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-49448authentik: SourceStage bypass via empty POST
39Наблюдать
CVE-2024-38371Insufficient access control for OAuth2 Device Code flow in authentik
39Наблюдать
CVE-2023-48228OAuth2: PKCE can be fully circumvented
39Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2025-2992828 мар. 2025 г. · authentik's deletion of sessions did not revoke sessions when using database session storage
32Наблюдать
← РаньшеCVE-2025-5255327 июн. 2025 г. · authentik has Insufficient Session verification for Remote Access Control endpoint access
22Наблюдать
Позже →CVE-2025-6452119 нояб. 2025 г. · authentik deactivated service accounts can authenticate to OAuth
19Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Go:goauthentik.io	0.0.0-20250722122105-7a4c6b9b50f8	Реестр пакетов (OSV)
opensuse:govulncheck-vulndb	0.0.20250814T182633-150000.1.98.1 · openSUSE:Leap 15.6	Реестр пакетов (OSV)
suse:govulncheck-vulndb	0.0.20250814T182633-150000.1.98.1 · SUSE:Linux Enterprise Module for Package Hub 15 SP6	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-94609с разницей 428 дн.authentik: Privilege Escalation to Superuser via Group Hierarchy
35Наблюдать
CVE-2026-40172с разницей 303 дн.authentik: Privilege Escalation via User PATCH: Superuser Group Assignment Bypasses enable_group_superuser
32Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-269 · Improper Privilege Management

Вектор CVSS

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Первопричина

Для упрощения развёртывания сервисной учётной записи выдаются широкие права на уровне всего кластера. Принцип минимальных привилегий на этапе установки игнорируется.

Ошибка в коде

Весь класс CWE-269

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

yaml

1kind: ClusterRole
2rules:
3  - apiGroups: ["*"]
4    resources: ["*"]
5    verbs: ["*"]

Исправленный код

yaml

1kind: Role
2metadata:
3  namespace: lodos-system
4rules:
5  - apiGroups: ["apps"]
6    resources: ["deployments"]
7    verbs: ["get", "list", "update"]