Iam-Marco

يوجد خلل في تجاوز المصادقة في واجهة مستخدم Login V2 يسمح للمهاجمين غير المصرح لهم بالسيطرة على حسابات المستخدمين الذين لم يقوموا بإعداد أي وسيلة مصادقة بعد. من خلال حساب ملف تعريف ارتباط `verificationCheck` صالح باستخدام معرف المستخدم وبصمة المتصفح، يمكن للمهاجم تعيين كلمة مرور، أو تسجيل مفتاح مرور (passkey)، أو ربط مزود هوية بالحساب المستهدف.

يحتوي Login V2 على مشكلة نقص في التفويض تسمح للمهاجمين بالموافقة على تفويضات أجهزة OAuth 2.0 باستخدام جلسة قائمة للضحية دون موافقتها. من خلال إرسال رابط لمستخدم مسجل الدخول يحتوي على رمز مستخدم المهاجم، يمكن للمهاجم الحصول على رموز الضحية وتجاوز إعدادات الوصول إلى المشروع عبر واجهة برمجة تطبيقات تفويض جهاز OIDC.

تحتوي واجهة مستخدم Login V1 المستضافة على خلل حيث يقوم معالج تغيير اسم المستخدم بمعالجة الطلبات للحساب المرتبط بتدفق تسجيل الدخول قبل التحقق من أي عوامل مصادقة. يسمح هذا للمهاجمين غير المصرح لهم بتقديم اسم تسجيل دخول الضحية ثم إرسال اسم مستخدم جديد لإعادة تسمية أي مستخدم بشري نشط، بما في ذلك المسؤولين، مما يؤدي إلى منعهم من الوصول إلى حساباتهم.

يوجد تجاوز للمصادقة في استدعاء (callback) نية مزود هوية SAML. يقوم النظام بالتحقق من توقيع التأكيد باستخدام المزود المحدد في عنوان URL للطلب، ولكنه يحدد المستخدم من نية تسجيل الدخول دون التحقق من تطابقهما. يتيح ذلك للمهاجمين الذين لديهم صلاحيات مسؤول المؤسسة تسجيل مزود SAML باستخدام مفتاح التوقيع الخاص بهم للحصول على جلسات مصادقة لأي مستخدم مرتبط بمزود SAML آخر على المثيل، بما في ذلك المستخدمين في مؤسسات أخرى.

توجد مشكلة في تصعيد الامتيازات في عملية تبادل رموز OIDC. تسمح هذه الثغرة للمستخدمين الذين لديهم أدوار `IAM END USER IMPERSONATOR` أو `ORG END USER IMPERSONATOR` بتجاوز فحص `admin.impersonation`. وبناءً على ذلك، يمكن لهؤلاء المستخدمين انتحال صفة المسؤولين، بما في ذلك أولئك الذين لديهم دور `IAM OWNER` وتسجيل الدخول إلى التطبيقات المعتمدة بأدوار ومطالبات إدارية.

An authentication bypass exists in the hosted Login V1 UI. The issue occurs because the registration endpoint for external accounts not found trusts external identity fields provided by the client without requiring a completed Identity Provider (IdP) callback. An unauthenticated attacker can submit forged `IDPConfigID` and `ExternalUserID` values to pre-create an account linked to a victim's external IdP identity. When the victim subsequently performs a legitimate external login, they are signed into the pre-created account.

An incorrect authorization flaw exists in the User Service API. The system verifies the `user.read` permission against the caller's organization instead of the organization that owns the target user. An authenticated member with org-scoped `user.read` permissions can use the 'GET /v2/users/{userId}/authentication methods' endpoint to identify the authentication method types registered by users in other organizations.

An improper authorization flaw exists during the issuance of passkey or passwordless enrollment codes. The system validates the organization specified in the `x-zitadel-orgid` header but fails to verify the organization of the target user. This allows an attacker with user-write permissions in one organization to obtain an enrollment code for a user belonging to a different organization on the same instance, enabling the attacker to register their own authenticator and take over the account.

An authentication bypass exists in Login V2 that allows unauthenticated attackers to take over accounts. Attackers who know the login name of a victim enrolled in OTP-Email and OTP-SMS can obtain One-Time Password (OTP) codes through the `returnCode` delivery type by reading them from server-action responses. This allows the attacker to establish MFA-authenticated sessions, which may include the takeover of administrator accounts.

An authentication bypass exists in the hosted Login V1 and Login V2 UIs. The system allows the enrollment of a passkey or other authenticator during identify-only login sessions before a primary factor is verified. An unauthenticated attacker who knows a victim's login name can register an attacker-controlled authenticator to gain unauthorized access to the account, bypassing passwords and multi-factor authentication (MFA).

An issue exists where the server can be coerced into making requests to internal resources during organization domain HTTP verification. This occurs because the challenge fetch process utilizes the default `http.Get` function in Go instead of a protected client. Attackers can register domains that redirect to loopback, internal, or cloud metadata addresses, enabling them to scan ports and map internal networks. This is a server-side request forgery (SSRF), which is a flaw that allows an attacker to induce the server-side application to make requests to an unintended location.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات ZITADEL الأقدم من 4.9.1 إصدارات ZITADEL الأقدم من 3.4.6 الوصف ZITADEL هي منصة مفتوحة المصدر لإدارة الهوية. توجد مشكلة تتعلق بتعداد المستخدمين في واجهات تسجيل الدخول. يمكن لمهاجم غير معتمد تحديد وجود حسابات مستخدمين صالحة من خلال تجربة أسماء مستخدمين ومعرفات مستخدمين مختلفة. يمكن استغلال هذه الثغرة الأمنية من خلال تكرار أسماء المستخدمين و`معرفات المستخدمين`. التوصيات قم بتحديث ZITADEL إلى الإصدار 4.9.1 أو أحدث. قم بتحديث ZITADEL إلى الإصدار 3.4.6 أو أحدث.