CVE-2026-119128
zitadel zitadel
Traduzido automaticamente do inglês.
- zitadel zitadel
- Crítica
- CVSS 9.1
- Versão corrigida informada
Resumo
ZITADEL 4.0.0 antes de 4.19.5 contém uma vulnerabilidade de bypass de autenticação na interface do usuário Login V2 que permite que atacantes não autenticados definam a primeira credencial de usuários que não possuem nenhum método de autenticação.
Do registro CVE.
Ler a descrição original
Registro CVE
ZITADEL 4.0.0 before 4.19.5 contains an authentication bypass vulnerability in the Login V2 UI that allows unauthenticated attackers to set the first credential of users lacking any authentication method. Attackers can compute a valid verificationCheck cookie from the user ID and browser fingerprint to set a password, register a passkey, or link an identity provider, taking over the account.
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| zitadel zitadel | de 4.0.0 até antes de 4.19.5 | 4.19.5 |
Alertas e correções
- Alerta do fabricante github.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.1 (v4.0, pontuado por VulnCheck)
- Fraqueza
- CWE-565: Reliance on Cookies without Validation and Integrity Checking
- Fabricante
- zitadel, zitadel
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.