CVE-2026-29191

Nome do Software Vulnerável e Versões Afetadas Versões do ZITADEL de 4.0.0 a 4.11.1

Descrição O ZITADEL, uma plataforma de gerenciamento de identidade de código aberto, contém uma vulnerabilidade de cross-site scripting (XSS) em sua interface de login V2, especificamente dentro do endpoint /saml-post. Esta falha permite a possível tomada de conta ao possibilitar a execução de código JavaScript malicioso no navegador da vítima. O problema origina-se de um redirecionamento inseguro utilizando o parâmetro url e da reflexão de entrada fornecida pelo usuário sem a codificação HTML adequada. Um atacante não autenticado pode explorar isso criando um link malicioso, potencialmente redefinindo senhas e obtendo controle de contas. A vulnerabilidade não requer integração SAML para ser explorada e pode afetar o Zitadel em sua configuração padrão. O endpoint /saml-post aceita os parâmetros url e id.

Recomendações Atualize para o ZITADEL versão 4.12.0 ou posterior.