A API de gerenciamento de sessão do ZITADEL possui uma falha na qual um usuário autenticado pode atualizar uma sessão conhecendo apenas o seu ID, devido à ausência de uma verificação de permissão. Isso permite o sequestro de sessão, possibilitando que um atacante se passe por outro usuário e acesse recursos sensíveis.