CVE-2026-105215

Nome do Software Vulnerável e Versões Afetadas ZITADEL versões anteriores a 3.4.14 ZITADEL versões 4.x anteriores a 4.16.2

Description Existe uma falha de bypass de autenticação na interface de usuário Login V1 hospedada. O problema ocorre porque o endpoint de registro para contas externas não encontradas confia em campos de identidade externa fornecidos pelo cliente sem a necessidade de um callback de Provedor de Identidade (IdP) concluído. Um invasor não autenticado pode enviar valores forjados de IDPConfigID e ExternalUserID para pré-criar uma conta vinculada à identidade de IdP externo de uma vítima. Quando a vítima posteriormente realiza um login externo legítimo, ela é autenticada na conta pré-criada.

Recommendations Atualize o ZITADEL para a versão 3.4.14 ou posterior. Atualize o ZITADEL para a versão 4.16.2 ou posterior.