CVE-2026-49448: authentik: contorno do estágio Source via POST vazio
As versões do authentik anteriores a 2025.12.6, a partir de 2026.2.0 até antes de 2026.2.4, e a partir de 2026.5.0 até antes de 2026.5.1 são afetadas por um contorno do estágio Source ao enviar um POST vazio, segundo o aviso do GitHub. O registro classifica o problema como CWE-287 (Autenticação Imprópria), com pontuação base CVSS de 9,8, e indica correções nas versões 2025.12.6, 2026.2.4 e 2026.5.1. O CVE não consta no catálogo CISA KEV e não há exploração confirmada nas fontes consultadas.
Visão geral
O CVE descreve uma falha no estágio Source do authentik, um provedor de identidade de código aberto, em que o envio de uma requisição POST vazia pode contornar esse estágio. A fraqueza é classificada como CWE-287, Autenticação Imprópria. O aviso upstream está publicado no GitHub e o registro consta no NVD.
Impacto
O registro informa pontuação base CVSS de 9,8, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, ausência de necessidade de privilégios ou interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. A entrada SSVC do registro indica impacto técnico total e automatizável como sim. Esses valores vêm do registro e devem ser confrontados com a avaliação do próprio fornecedor.
Produtos e versões afetadas
O registro lista Goauthentik Authentik com os seguintes intervalos:
- anteriores a 2025.12.6
- a partir de 2026.2.0 até antes de 2026.2.4
- a partir de 2026.5.0 até antes de 2026.5.1
As versões corrigidas citadas na descrição são 2025.12.6, 2026.2.4 e 2026.5.1.
Status de exploração
O CVE não consta no CISA KEV, portanto esta análise não afirma exploração ativa. Não há exploração confirmada nas fontes consultadas. O campo SSVC do registro indica exploração do tipo poc, ou seja, atividade de prova de conceito, e o aviso do GitHub está marcado com a tag Exploit. Nenhum desses pontos comprova exploração em ambiente real.
Correção e mitigação
- Atualize para 2025.12.6 ou posterior na linha 2025.12, para 2026.2.4 ou posterior na linha 2026.2, ou para 2026.5.1 ou posterior na linha 2026.5.
- Consulte o aviso do fornecedor para verificar eventuais medidas paliativas antes da atualização.
- Restrinja a exposição de rede dos endpoints administrativos e de fluxo do authentik, quando operacionalmente possível, até que as correções sejam aplicadas.
Orientação para detecção
- Revise os logs de fluxos de autenticação em busca de requisições do estágio Source concluídas sem as etapas anteriores esperadas ou com corpos de requisição incomumente vazios.
- Correlacione autenticações bem-sucedidas com a criação inesperada de sessões durante o processamento do estágio Source.
- Confirme a versão do authentik em execução em relação aos intervalos afetados listados acima.
Limitações das informações disponíveis
O registro não traz descrição técnica detalhada do contorno, as condições exatas da requisição nem incidentes observados. O campo de versão corrigida do registro está vazio, então as versões corrigidas foram extraídas da descrição e dos dados de intervalos afetados. Não se sabe se implantações com fluxos ou fontes personalizados são afetadas de forma diferente.
Perguntas frequentes
Quais versões do authentik são afetadas pelo CVE-2026-49448?
O registro lista versões anteriores a 2025.12.6, a partir de 2026.2.0 até antes de 2026.2.4, e a partir de 2026.5.0 até antes de 2026.5.1.
Este CVE está sendo explorado ativamente?
O CVE não consta no CISA KEV e não há exploração confirmada nas fontes consultadas. O campo SSVC do registro indica apenas o estado de prova de conceito.
O que os administradores devem fazer primeiro?
Atualize para 2025.12.6, 2026.2.4 ou 2026.5.1, conforme a linha de versão em uso, e revise os logs de autenticação do estágio Source em busca de anomalias.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.