CVE-2025-57770

Açıq mənbəli identifikasiya infrastrukturu proqram təminatı olan Zitadel administratorlara istifadəçilərin özqeydiyyatını deaktiv etməyə imkan verir. Versiyalar 4.0.0-dan 4.0.2-dək, 3.0.0-dan 3.3.6-dək və 2.71.15 versiyasından əvvəlki bütün versiyalarda giriş interfeysində istifadəçi adlarının sadalanması (username enumeration) problemi mövcuddur. Giriş UI-da həm düzgün, həm də yanlış istifadəçi adları üçün ümumi cavab qaytararaq istifadəçi adlarının sadalanmasının qarşısını almaq üçün nəzərdə tutulmuş "Ignoring unknown usernames" adlı təhlükəsizlik funksiyası var. Bu zəiflik autentifikasiya olunmamış hücumçuya hesab seçimi səhifəsinə ixtiyari userID-lər göndərməklə və sistemin cavabına əsasən düzgün və yanlış hesabları fərqləndirməklə bu mühafizədən yan keçməyə imkan verir. Effektiv istismar üçün hücumçu mümkün userID-ləri təkrarla yoxlamalıdır, lakin bu təsir sürət məhdudiyyəti (rate limiting) və ya oxşar tədbirlərin tətbiqi ilə azaldıla bilər. Problem 4.0.3, 3.4.0 və 2.71.15 versiyalarında aradan qaldırılmışdır.