PT-2026-110786 · Zitadel · Zitadel
CVSS v4.0
9.2
Crítica
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
ZITADEL versões 3.0.0 até 4.19.1
Descrição
Existe uma falha de bypass de autenticação na interface de usuário Login V2. Atacantes não autenticados podem obter tokens de sessão de outros usuários forjando cookies de sessão não assinados. Ao adivinhar IDs de sessão ordenados por tempo associados ao login de uma vítima e fornecer tokens vazios, os atacantes podem receber tokens rotacionados. Isso permite a invasão completa de contas, incluindo sessões de administradores que já completaram a Autenticação de Múltiplos Fatores (MFA), um processo de segurança que exige dois ou mais fatores de verificação.
Recomendações
Atualize o ZITADEL para a versão 4.19.2 ou posterior.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zitadel