CVE-2024-49757
Açıklama
Açık kaynaklı kimlik altyapı yazılımı Zitadel, yöneticilerin kullanıcıların kendi kendine kayıt olmasını devre dışı bırakmasına olanak tanır. 2.64.0, 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5 ve 2.58.7 öncesindeki sürümlerde eksik bir güvenlik kontrolü nedeniyle, "User Registration allowed" seçeneğinin devre dışı bırakılması yalnızca giriş sayfasındaki kayıt butonunu gizlemekteydi. Kullanıcılar, kayıt URL'sine (/ui/login/loginname) doğrudan erişerek bu kısıtlamayı atlayabilir ve bu şekilde bir kullanıcı kaydedebilirdi. 2.64.0, 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5 ve 2.58.7 sürümleri bir yama içermektedir. Bilinen herhangi bir geçici çözüm mevcut değildir.
Nasıl düzeltilir
- zitadel zitadel2.58.7, 2.59.5, 2.60.4, 2.61.4, 2.62.7, 2.63.5 ya da sonraki bir sürüm
- github.com/zitadel/zitadel2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5, 2.58.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | v < 2.58.7, 2.59.0 ≤ v < 2.59.5, 2.60.0 ≤ v < 2.60.4, 2.61.0 ≤ v < 2.61.4, 2.62.0 ≤ v < 2.62.7, 2.63.0 ≤ v < 2.63.5 | 2.58.7, 2.59.5, 2.60.4, 2.61.4, 2.62.7, 2.63.5 |
| github.com/zitadel/zitadelGo | 2.63.0 ≤ v < 2.63.5, 2.62.0 ≤ v < 2.62.7, 2.61.0 ≤ v < 2.61.4, 2.60.0 ≤ v < 2.60.4, 2.59.0 ≤ v < 2.59.5, v < 2.58.7, Aralık belirtilmemiş | 2.63.5, 2.62.7, 2.61.4, 2.60.4, 2.59.5, 2.58.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.