CVE-2023-49097
Açıklama
ZITADEL bir kimlik altyapı sistemidir. ZITADEL, e-posta ile gönderilen kodla şifre sıfırlamayı onaylamak için e-postalarda gönderilen buton bağlantısını oluştururken bildirim tetikleme isteklerindeki Forwarded veya X-Forwarded-Host başlığını kullanır. Bu başlığın üzerine yazılması ve bir kullanıcının e-postadaki kötü amaçlı bir siteye yönlendiren bağlantıya tıklaması durumunda, gizli kod ele geçirilebilir ve kullanıcının şifresini sıfırlamak ve hesabını ele geçirmek için kullanılabilir. MFA veya Passwordless özelliği etkinleştirilmiş hesaplar bu saldırıyla ele geçirilemez. Bu sorun 2.41.6, 2.40.10 ve 2.39.9 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- zitadel zitadel2.39.9, 2.40.10, 2.41.6 ya da sonraki bir sürüm
- github.com/zitadel/zitadel2.39.9, 2.40.10, 2.41.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | 2.39.0 ≤ v < 2.39.9, 2.40.0 ≤ v < 2.40.10, 2.41.0 ≤ v < 2.41.6 | 2.39.9, 2.40.10, 2.41.6 |
| github.com/zitadel/zitadelGo | 2.39.0 ≤ v < 2.39.9, 2.40.0 ≤ v < 2.40.10, 2.41.0 ≤ v < 2.41.6 | 2.39.9, 2.40.10, 2.41.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.