Към съдържанието
Търсене

CVE-2026-109372: zitadel, заобикаляне на вход и права

9.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

ZITADEL 4.x before 4.19.2 and 3.x through 3.4.15 contains an authentication bypass in the SAML identity-provider intent callback, which verifies the assertion signature using the provider named in the request URL but resolves the user from the login intent without checking they match. Attackers with organization-administrator permission can register a SAML provider with their own signing key to obtain authenticated sessions as any user linked to another SAML provider on the instance, including in other organizations.

Засегнати продукти

  • zitadel zitadel: 3.0.0 преди 4.19.2; 4.19.2

Вид слабост

История

  • 12 октомври 2026 Публикувано

Други уязвимости в zitadel zitadel

Първоизточници

CVE-2026-109372: zitadel, заобикаляне на вход и права | freedomonline.bg