authentik is an open-source identity provider. Prior to version 2026.2.3, the WS-Federation provider validates the user-supplied wreply parameter using a raw string prefix check rather than proper URL parsing. An attacker who can craft a login link can supply a wreply value on a different origin that passes the check (e.g. https://portal.example.com.evil.tld/), causing the victim's browser to POST the signed WS-Federation login response to attacker-controlled infrastructure. This issue has been patched in version 2026.2.3.
authentik identity provider versions before 2026.2.3 contain an open redirect vulnerability in WS-Federation provider due to improper URL validation of the wreply parameter. Attackers can craft malicious login links to redirect authenticated users to attacker-controlled domains, potentially compromising credentials and session tokens.
ثغرة في مزود WS-Federation بمنصة authentik تسمح بإعادة توجيه مفتوحة حيث يتم التحقق من معامل wreply باستخدام فحص بادئة نصية بسيط بدلاً من تحليل URL الصحيح. يمكن للمهاجم إنشاء رابط تسجيل دخول يحتوي على نطاق ضار يشبه النطاق الشرعي (مثل portal.example.com.evil.tld) لخداع المستخدمين وإرسال استجابة WS-Federation الموقعة إلى خادم يسيطر عليه.
منصة authentik للتحقق من الهوية قبل الإصدار 2026.2.3 تحتوي على ثغرة إعادة توجيه مفتوحة في مزود WS-Federation بسبب التحقق غير الصحيح من معامل wreply. يمكن للمهاجمين إنشاء روابط تسجيل دخول ضارة لإعادة توجيه المستخدمين المصرحين إلى نطاقات يسيطر عليها المهاجم.
Upgrade authentik to version 2026.2.3 or later immediately. Implement strict URL validation using proper URL parsing libraries instead of string prefix checks. Review and restrict allowed redirect domains in WS-Federation configuration. Monitor authentication logs for suspicious wreply parameters containing domain mismatches.
قم بترقية authentik إلى الإصدار 2026.2.3 أو أحدث فوراً. طبق التحقق الصارم من عناوين URL باستخدام مكتبات تحليل URL الصحيحة بدلاً من فحوصات البادئة النصية. راجع وقيد النطاقات المسموحة بإعادة التوجيه في تكوين WS-Federation. راقب سجلات المصادقة للكشف عن معاملات wreply المريبة التي تحتوي على عدم تطابق النطاقات.