PT-2026-110785
CVE-2026-109372
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ZITADEL الإصدارات 4.x حتى 4.19.1
ZITADEL الإصدارات 3.x حتى 3.4.15
Description
يوجد تجاوز للمصادقة في استدعاء (callback) نية مزود هوية SAML. يقوم النظام بالتحقق من توقيع التأكيد باستخدام المزود المحدد في عنوان URL للطلب، ولكنه يحدد المستخدم من نية تسجيل الدخول دون التحقق من تطابقهما. يتيح ذلك للمهاجمين الذين لديهم صلاحيات مسؤول المؤسسة تسجيل مزود SAML باستخدام مفتاح التوقيع الخاص بهم للحصول على جلسات مصادقة لأي مستخدم مرتبط بمزود SAML آخر على المثيل، بما في ذلك المستخدمين في مؤسسات أخرى.
Recommendations
تحديث إصدارات ZITADEL 4.x إلى 4.19.2 أو أحدث.
تحديث إصدارات ZITADEL 3.x إلى 3.4.16 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾