CVE-2023-39522
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W goauthentik, otwartoźródłowym dostawcy tożsamości, w dotkniętych wersjach z aktywowanym procesem odzyskiwania, atakujący może ustalić, czy dany nazwa użytkownika istnieje. Problem dotyczy tylko konfiguracji z włączonym procesem odzyskiwania.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie istniejących nazw użytkowników lub adresów e-mail, co może prowadzić do dalszych ataków, takich jak phishing czy brute force.
Rekomendacja
Zaleca się aktualizację do wersji 2023.5.6 lub 2023.6.2, aby usunąć tę podatność. Nie ma znanych obejść tego problemu.
Oryginalny opis (angielski, źródło NVD)
goauthentik is an open-source Identity Provider. In affected versions using a recovery flow with an identification stage an attacker is able to determine if a username exists. Only setups configured with a recovery flow are impacted by this. Anyone with a user account on a system with the recovery flow described above is susceptible to having their username/email revealed as existing. An attacker can easily enumerate and check users' existence using the recovery flow, as a clear message is shown when a user doesn't exist. Depending on configuration this can either be done by username, email, or both. This issue has been addressed in versions 2023.5.6 and 2023.6.2. Users are advised to upgrade. There are no known workarounds for this issue.