CVE-2025-53895
Təsvir
ZITADEL açıq mənbəli kimlik idarəetmə sistemidir. Versiya 2.53.0-dan başlayaraq və versiyalar 4.0.0-rc.2, 3.3.2, 2.71.13 və 2.70.14-dən əvvəlki versiyalarda, ZITADEL-in sessiya idarəetmə API-dəki boşluq, icazə yoxlamasının olmaması səbəbindən hər hansı autentifikasiya olunmuş istifadəçiyə sessiyanın ID-sini bildiyi təqdirdə həmin sessiyanı yeniləməyə imkan verir. Bu çatışmazlıq sessiyanın ələ keçirilməsinə (session hijacking) şərait yaradaraq hücum edən şəxsə digər istifadəçi adından çıxış etməyə və həssas resurslara daxil olmağa imkan verir. `2.53.0`-dan əvvəlki versiyalar təsirlənməmişdir, çünki onlar yeniləmələr üçün sessiya tokenini tələb edirdi. Versiyalar 4.0.0-rc.2, 3.3.2, 2.71.13 və 2.70.14 bu problemi aradan qaldırır.
Necə düzəltmək olar
- zitadel zitadel2.70.14, 2.71.13, 3.3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zitadel zitadel | 2.53.0 ≤ v < 2.70.14, 2.71.0 ≤ v < 2.71.13, 3.0.0 ≤ v < 3.3.1, 4.0.0 | 2.70.14, 2.71.13, 3.3.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.