PT-2026-132358

CVE-2026-119127

Publicado

2026-10-29

Atualizado

2026-10-29

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas ZITADEL versões 4.0.0 até 4.19.4

Descrição A interface de usuário Login V2 está suscetível a injeção de cabeçalho de host. Atacantes não autenticados podem envenenar links de redefinição de senha, convite e verificação de e-mail fornecendo valores não confiáveis nos cabeçalhos x-zitadel-public-host, x-zitadel-forward-host ou x-forwarded-host. Se um atacante souber o nome de login de uma vítima, poderá redirecionar links em e-mails legítimos para um host sob seu controle para coletar códigos de uso único e assumir contas, incluindo as de administradores da instância.

Recomendações Atualize o ZITADEL para a versão 4.19.5 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Livio-A

Lucasdodgson

Wim07101993

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-640: Weak Password Recovery Mechanism for Forgotten Password