PT-2026-104634

CVE-2026-105210

Publicado

2026-10-04

Atualizado

2026-10-04

Descrição por

CVSS 4.0

8.8

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas ZITADEL versões 3.x até 3.4.14 ZITADEL versões 4.x até 4.17.0

Description Uma falha de autenticação ausente existe na interface do usuário do Login V1 hospedado. Os manipuladores de inicialização e registro de segundo fator processam sessões apenas de identificação antes que o fator primário seja verificado. Um invasor que conheça o nome de login de uma vítima pode registrar fatores TOTP, OTP-SMS, OTP-Email ou U2F controlados pelo invasor, sobrescrever o número de telefone verificado e enumerar usuários através de mensagens de erro discrepantes.

Recommendations Atualizar as versões 3.x do ZITADEL para 3.4.15. Atualizar as versões 4.x do ZITADEL para 4.17.1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados