PT-2026-22066
CVE-2026-27840
·
تاريخ النشر
2026-02-26
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات ZITADEL من 2.31.0 إلى 3.4.6
إصدارات ZITADEL من 2.31.0 إلى 4.10.9
الوصف
ZITADEL هي منصة مفتوحة المصدر لإدارة الهوية. بدءًا من الإصدار 2.31.0 وحتى الإصدارات السابقة للإصدارين 3.4.7 و4.11.0، تُعتبر رموز الوصول OIDC غير الشفافة بتنسيق v2 والمقتطعة إلى 80 حرفًا صالحة. يستخدم ZITADEL تشفير AES المتماثل لرموز الوصول غير الشفافة، وتتضمن الحمولة النصية العادية معرّف الرمز ومعرّف المستخدم. تحدد رموز الإصدار 2 معرّف الرمز على النحو التالي:
v2 <oidc session id>-at <access token id>. وعندما يتم اقتطاع الرموز، يكون user id غائبًا في النص العادي. لا تزال الخلفية تقبل هذه الرموز المقتطعة لأنها تعتمد على بيانات الجلسة الموجودة في قاعدة البيانات لتعريف المستخدم في رموز الإصدار 2. يعمل التصحيح في الإصدارين 4.11.0 و3.4.7 على حل المشكلة من خلال التحقق من user id الخاص بالرمز مقارنةً ببيانات الجلسة الموجودة في قاعدة البيانات.التوصيات
إصدارات ZITADEL من 2.31.0 إلى 3.4.6: قم بالتحديث إلى الإصدار 3.4.7 أو أحدث.
إصدارات ZITADEL من 2.31.0 إلى 4.10.9: قم بالتحديث إلى الإصدار 4.11.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾