CVE-2026-42849
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność XSS w komponencie AutosubmitStage w authentik (dostawca tożsamości open-source) przed wersjami 2025.12.5 i 2026.2.3, umożliwiająca atakującemu wstrzyknięcie złośliwego skryptu.
Ocena ryzyka
Ryzyko kradzieży sesji użytkowników i przejęcia kont, co może naruszyć bezpieczeństwo całego systemu uwierzytelniania.
Rekomendacja
Zaktualizuj authentik do wersji 2025.12.5 lub 2026.2.3. Ogranicz użycie starszych przeglądarek, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
authentik is an open-source identity provider. Prior to versions 2025.12.5 and 2026.2.3, due to the implementation of stages in the SFE (Simple Flow Executor) in order to make the interface more compatible with legacy browsers, it was possible to use an XSS exploit in the AutosubmitStage. This issue has been patched in versions 2025.12.5 and 2026.2.3.