PT-2026-110786

CVE-2026-109373

Publicado

2026-10-12

Atualizado

2026-10-16

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas ZITADEL versões 3.0.0 até 4.19.1

Descrição Existe uma falha de bypass de autenticação na interface de usuário Login V2. Atacantes não autenticados podem obter tokens de sessão de outros usuários forjando cookies de sessão não assinados. Ao adivinhar IDs de sessão ordenados por tempo associados ao login de uma vítima e fornecer tokens vazios, os atacantes podem receber tokens rotacionados. Isso permite a invasão completa de contas, incluindo sessões de administradores que já completaram a Autenticação de Múltiplos Fatores (MFA), um processo de segurança que exige dois ou mais fatores de verificação.

Recomendações Atualize o ZITADEL para a versão 4.19.2 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Livio-A

Lucasdodgson

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-441: Unintended Proxy or Intermediary (\'Confused Deputy\')

Identificadores relacionados