CVE-2025-48936

إصدارات Zitadel الأقدم من 2.70.12

إصدارات Zitadel الأقدم من 2.71.10

إصدارات Zitadel الأقدم من 3.2.2

Zitadel هو برنامج مفتوح المصدر للبنية التحتية للهوية. توجد مشكلة محتملة في آلية إعادة تعيين كلمة المرور، حيث يستخدم Zitadel رأس Forwarded أو X-Forwarded-Host من الطلبات المستلمة لإنشاء عنوان URL لرابط تأكيد إعادة تعيين كلمة المرور. ثم يتم إرسال هذا الرابط، الذي يحتوي على رمز سري، عبر البريد الإلكتروني إلى المستخدم. إذا تمكن المهاجم من التلاعب بهذه الرؤوس، فسيكون بإمكانه حمل Zitadel على إنشاء رابط إعادة تعيين كلمة المرور يشير إلى نطاق ضار يسيطر عليه المهاجم. وإذا نقر المستخدم على هذا الرابط المُتلاعب به في البريد الإلكتروني، فسيتمكن المهاجم من الاستيلاء على الرمز السري لإعادة تعيين كلمة المرور المضمن في عنوان URL. ويمكن بعد ذلك استخدام هذا الرمز الذي تم الاستيلاء عليه لإعادة تعيين كلمة مرور المستخدم والحصول على وصول غير مصرح به إلى حسابه. يتم التخفيف من هذا النوع المحدد من الهجمات في الحسابات التي تم تمكين المصادقة متعددة العوامل (MFA) أو المصادقة بدون كلمة مرور فيها.

بالنسبة للإصدارات الأقدم من 2.70.12، قم بالتحديث إلى الإصدار 2.70.12 أو أحدث.

بالنسبة للإصدارات الأقدم من 2.71.10، قم بالتحديث إلى الإصدار 2.71.10 أو أحدث.

بالنسبة للإصدارات الأقدم من 3.2.2، قم بالتحديث إلى الإصدار 3.2.2 أو أحدث.

كحل بديل مؤقت، ضع في اعتبارك تمكين المصادقة المتعددة