CVE-2026-105207

Nome do Software Vulnerável e Versões Afetadas ZITADEL versões 3.0.0 até 3.4.15 ZITADEL versões 4.0.0 até 4.17.2

Description Existe um problema onde links são criados entre contas de usuário e provedores de identidade externos sem a verificação de um fator primário ou da permissão do solicitante. Isso ocorre durante sessões de Login V2 apenas para identificação e através do endpoint 'AddIDPLink' do User Service V2. Um invasor não autenticado que conheça o nome de login de uma vítima pode vincular sua própria identidade de provedor externo à conta da vítima para sequestrá-la e entrar como a vítima.

Recommendations Atualize as versões do ZITADEL 3.0.0 até 3.4.15 para uma versão onde este problema tenha sido resolvido. Atualize as versões do ZITADEL 4.0.0 até 4.17.2 para a versão 4.17.3 ou posterior. Restrinja o acesso ao endpoint 'AddIDPLink' no User Service V2 para minimizar o risco de exploração.