PT-2026-57252 · Zitadel · Zitadel

CVE-2026-56664

·

Publicado

2026-06-18

·

Atualizado

2026-07-10

CVSS v3.1

4.2

Média

VetorAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas ZITADEL versões anteriores a 3.4.12 ZITADEL versões anteriores a 4.15.2
Description A validação do Provedor de Identidade JWT externo no arquivo internal/idp/providers/jwt/session.go ignora a verificação de atualização da idade máxima do token quando um token recebido omite a reivindicação iat. Isso permite que tokens arbitrariamente antigos de um emissor confiável passem pela autenticação.
Recommendations Atualize para a versão 3.4.12 ou posterior. Atualize para a versão 4.15.2 ou posterior.

Exploit

Correção

Insufficient Session Expiration

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2026-56664
GHSA-WXG7-W2V3-W38G
GO-2026-5732

Produtos afetados

Zitadel