PT-2026-132358
CVE-2026-119127
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ZITADEL الإصدارات من 4.0.0 إلى 4.19.4
الوصف
تعاني واجهة مستخدم Login V2 من ثغرة حقن ترويسة المضيف (host header injection). يمكن للمهاجمين غير المصرح لهم تسميم روابط إعادة تعيين كلمة المرور، والدعوات، وروابط التحقق من البريد الإلكتروني عن طريق تقديم قيم غير موثوقة في ترويسات
x-zitadel-public-host أو x-zitadel-forward-host أو x-forwarded-host. إذا عرف المهاجم اسم تسجيل دخول الضحية، فيمكنه توجيه الروابط في رسائل البريد الإلكتروني الأصلية إلى مضيف تابع له، وجمع الرموز ذات الاستخدام الواحد عند فتح الروابط، والاستيلاء على الحسابات بما في ذلك حسابات مسؤولي المثيل.التوصيات
تحديث ZITADEL إلى الإصدار 4.19.5 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾