Grvijayan

A interface de usuário do Login V1 hospedada contém uma falha na qual o manipulador de alteração de nome de usuário processa solicitações para a conta associada a um fluxo de login antes de verificar qualquer fator de autenticação. Isso permite que invasores não autenticados forneçam o nome de login de uma vítima e enviem um novo nome de usuário para renomear qualquer usuário humano ativo, incluindo administradores, resultando no bloqueio do acesso desses usuários às suas contas.

Existe um problema onde links são criados entre contas de usuário e provedores de identidade externos sem a verificação de um fator primário ou da permissão do solicitante. Isso ocorre durante sessões de Login V2 apenas para identificação e através do endpoint 'AddIDPLink' do User Service V2. Um invasor não autenticado que conheça o nome de login de uma vítima pode vincular sua própria identidade de provedor externo à conta da vítima para sequestrá-la e entrar como a vítima.

Uma falha de autorização inadequada ocorre durante a emissão de códigos de registro de passkey ou autenticação sem senha. O sistema valida a organização especificada no cabeçalho `x-zitadel-orgid`, mas não verifica a organização do usuário alvo. Isso permite que um invasor com permissão de escrita de usuário em uma organização obtenha um código de registro para um usuário pertencente a outra organização na mesma instância, permitindo que o invasor registre seu próprio autenticador e assuma o controle da conta.

Uma falha de autenticação ausente existe na interface do usuário do Login V1 hospedado. Os manipuladores de inicialização e registro de segundo fator processam sessões apenas de identificação antes que o fator primário seja verificado. Um invasor que conheça o nome de login de uma vítima pode registrar fatores TOTP, OTP-SMS, OTP-Email ou U2F controlados pelo invasor, sobrescrever o número de telefone verificado e enumerar usuários através de mensagens de erro discrepantes.