PT-2025-50278
CVE-2025-67495
·
تاريخ النشر
2025-12-08
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
8.0
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ZITADEL من 4.0.0-rc.1 إلى 4.7.0
الوصف
برنامج ZITADEL، وهو أداة مفتوحة المصدر للبنية التحتية للهوية، معرض لثغرة أمنية من نوع Cross-Site Scripting (XSS) تعتمد على DOM عبر نقطة نهاية تسجيل الخروج في Zitadel V2. تقوم نقطة نهاية واجهة برمجة التطبيقات (API)
/logout بإعادة التوجيه بشكل غير آمن إلى قيمة مقدمة في معلمة GET post logout redirect. وهذا يسمح لمهاجم بعيد غير مصدق بتنفيذ كود JavaScript ضار في متصفحات مستخدمي ZITADEL. تتطلب هذه الثغرة وجود عدة جلسات مستخدم نشطة في نفس المتصفح لاستغلالها. يتم الحد من اختطاف الحساب عند تمكين المصادقة متعددة العوامل (MFA) أو المصادقة بدون كلمة مرور.التوصيات
يجب تحديث الإصدارات الأقدم من 4.7.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾