CVE-2025-64103

Nome do Software Vulnerável e Versões Afetadas Versões do Zitadel anteriores a 4.6.0 Versões do Zitadel de 2.53.6 a 2.55.0 Versões do Zitadel anteriores a 3.4.3 Versões do Zitadel anteriores a 2.71.18

Descrição Existe uma falha no Zitadel onde a autenticação de múltiplos fatores (MFA) não era consistentemente exigida. Especificamente, nas versões 2.53.6, 2.54.3 e 2.55.0, o MFA era exigido apenas se a política de login habilitasse explicitamente requireMFA ou requireMFAForLocalUsers. Se um usuário tivesse configurado o MFA, mas essas políticas não estivessem habilitadas, o Zitadel aceitava a autenticação de fator único como válida. Esse contorno do segundo fator de autenticação enfraquece a segurança do MFA, permitindo que atacantes potencialmente comprometam contas. Um atacante poderia visar o código de Senha de Uso Único Baseada em Tempo (TOTP), composto por seis dígitos, para contornar completamente a verificação de senha.

Recomendações Atualize para a versão 4.6.0 ou posterior do Zitadel. Atualize para a versão 3.4.3 ou posterior do Zitadel. Atualize para a versão 2.71.18 ou posterior do Zitadel.