Vulnerabilidad en authentik (CVE-2022-46172)

authentik es un proveedor de identidad de código abierto centrado en la flexibilidad y la versatilidad. En versiones anteriores a 2022.10.4 y 2022.11.4, cualquier usuario autenticado puede crear una cantidad arbitraria de cuentas a través de los flujos predeterminados. Esto omitiría cualquier política en una situación en la que no sea deseable que los usuarios creen nuevas cuentas por sí mismos. Esto también puede afectar a otras aplicaciones, ya que estas nuevas cuentas básicas existirían en toda la infraestructura de SSO. De forma predeterminada, no se puede iniciar sesión en las cuentas recién creadas ya que no existe ningún restablecimiento de contraseña. Sin embargo, es probable que la mayoría de las instalaciones habiliten el restablecimiento de contraseñas. Esta vulnerabilidad pertenece al contexto de usuario utilizado en el flujo de configuración de usuario predeterminado, /api/v3/flows/instances/default-user-settings-flow/execute/. Este problema se solucionó en las versiones 2022.10.4 y 2022.11.4.