PT-2026-57253 · Zitadel · Zitadel
CVE-2026-56665
·
Publicado
2026-07-10
·
Atualizado
2026-09-11
CVSS v3.1
4.2
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
ZITADEL versões 3.0.0-rc.1 até 3.4.11
ZITADEL versões 4.0.0-rc.1 até 4.15.1
Description
A validação do Provedor de Identidade JWT externo no arquivo
internal/idp/providers/jwt/session.go ignora o tratamento de expiração quando um token recebido omite a claim exp. Isso permite que um token de um emissor confiável seja tratado como válido sem uma janela de expiração automática.Recommendations
Atualizar as versões do ZITADEL 3.0.0-rc.1 até 3.4.11 para a versão 3.4.12.
Atualizar as versões do ZITADEL 4.0.0-rc.1 até 4.15.1 para a versão 4.15.2.
Exploit
Correção
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zitadel