Okta пусна корекции за сигурност за три уязвимости, засягащи Auth0 AD/LDAP Connector и Okta Access Gateway. Пропуските биха могли да позволят реализирането на базиран на съхранение cross-site scripting (XSS), заобикаляне на оторизация и SQL инжекции при определени конфигурации.

Уязвимостите бяха оповестени на 8 септември 2026 г. Организациите, използващи засегнатите компоненти за управление на идентичността и достъпа, трябва да приоритезират актуализациите, особено когато Access Gateway защитава чувствителни корпоративни приложения или привилегировани потребители администрират конектори за директории на Auth0.

Най-сериозният проблем, регистриран като CVE-2026-85982, засяга Auth0 AD/LDAP Connector. Уязвимостта за базиран на съхранение cross-site scripting получи CVSS v3 оценка 9.0 и е причинена от неправилно HTML кодиране на данните от резултатите от търсенето в директорията и съдържанието на дневниците на модула за актуализация, визуално представени в административния панел на конектора.

Атакуващ би имал нужда от автентикиран достъп до свързана потребителска директория с разрешение да променя атрибути, редактируеми от потребителя. Алтернативно, локален потребител с ниски привилегии, имащ достъп до хоста, изпълняващ конектора, би могъл да въведе зловреден скриптов код в дневниците на модула за актуализация или в съответните полета за данни.

Зловредният код може да се изпълни, когато администратор отвори засегнатите резултати от търсенето или дневници за актуализация в административния панел на Auth0 AD/LDAP Connector.

Okta коригира уязвимости в Auth0 и Access Gateway

Успешното експлоатиране би могло да разкрие данни за административни сесии, да позволи неоторизирани действия през сесията на браузъра на администратор или да подпомогне по-нататъшното компрометиране на инфраструктурата за идентичност.

Проблемът е класифициран като CWE-79 (неправилна неутрализация на входни данни по време на генериране на уеб страница). Потребителите на Okta и Auth0 трябва да актуализират auth0/ad-ldap-connector до версия 8.0.0 или по-нова, за да отстранят уязвимостта.

Okta също така отстрани CVE-2026-78626 – уязвимост за заобикаляне на оторизация в Protected Rules на Okta Access Gateway. Пропускът има CVSS v3 оценка 8.1. Той произтича от неправилно саниране на входните данни и оценка на регулярни изрази по време на проверките за оторизация в Protected Rule.

Уязвимостта засяга версии на Okta Access Gateway, по-стари от 2026.9.1. Експлоатацията изисква дадена организация да е конфигурирала политика за Protected Rule за един или повече ресурси на приложението.

Атакуващият трябва също да притежава валиден автентикиран профил, асоцииран с целевото приложение, дори ако този профил разполага само с ниско ниво на привилегии.

При тези условия специално манипулирани входни данни могат да заобиколят предвиденото прилагане на оторизация от Protected Rule. Това би могло да позволи на потребител да достъпи защитени ресурси или функции, които политиката е трябвало да ограничи. Проблемът е категоризиран като CWE-863: Неправилна оторизация (Incorrect Authorization). Okta е разрешила проблема във версия 2026.9.1 на Access Gateway.

Трета уязвимост, CVE-2026-78623, засяга хранилищата на данни в разширен режим (advanced-mode) на Access Gateway и има CVSS v3 оценка 7.7. Проблемът със SQL инжекцията възниква, когато стойностите на атрибутите на SAML твърдения (assertions) се интерполират в потребителски заявки към база данни без необходимото саниране.

Засегнатата конфигурация изисква хранилище на данни в база данни за разширен режим на Access Gateway, което използва персонализирани SQL заявки, рефериращи атрибути на SAML твърдения.

Атакуващият се нуждае и от активна сесия за автентикация, която може да подаде контролирани от него стойности за поне един рефериран атрибут на твърдението.

Тъй като стойностите се заместват в низовете на заявките преди тяхната подготовка, инжектираният код би могъл да изпълни непредвидени SQL команди към конфигурираната база данни. В зависимост от разрешенията за базата данни и дизайна на заявката, това може да разкрие чувствителни данни, да промени записи или да засегне наличността на базата данни.

Пропускът е класифициран като CWE-89: Неправилна неутрализация на специални елементи, използвани в SQL команда. Организациите трябва да актуализират засегнатите системи Okta Access Gateway до версия 2026.9.1 или по-нова.

Екипите по сигурност трябва да идентифицират внедрените версии на Auth0 AD/LDAP Connector и Okta Access Gateway, да инсталират наличните корекции за сигурност, да прегледат конфигурациите на Protected Rule и да одитират заявките към хранилища на данни в разширен режим, които включват SAML атрибути.

Администраторите трябва също така да прегледат разрешенията за атрибутите в директорията и да разследват необичайни промени в дневниците на конектора или в редактируемите от потребителите полета в директорията.