PT-2026-132360

CVE-2026-119129

Publicado

2026-10-29

Atualizado

2026-10-29

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas ZITADEL versões 3.0.0 até 3.4.15 ZITADEL versões 4.0.0 até 4.19.4

Description O Login V2 contém um problema de autorização ausente que permite que invasores aprovem autorizações de dispositivo OAuth 2.0 usando a sessão existente de uma vítima sem o seu consentimento. Ao enviar a um usuário conectado um link contendo o código de usuário do invasor, o invasor pode obter os tokens da vítima e ignorar as configurações de acesso ao projeto por meio da API de autorização de dispositivo OIDC.

Recommendations Atualize as versões do ZITADEL 3.0.0 até 3.4.15 para uma versão onde este problema seja resolvido. Atualize as versões do ZITADEL 4.0.0 até 4.19.4 para a versão 4.19.5 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Iam-Marco

Livio-A

Lucasdodgson

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization