CVE-2025-57770
Açıklama
Açık kaynaklı kimlik altyapısı yazılımı Zitadel, yöneticilerin kullanıcı self-registration özelliğini devre dışı bırakmasına olanak tanır. 4.0.0 ile 4.0.2, 3.0.0 ile 3.3.6 sürümleri ve 2.71.15 öncesindeki tüm sürümler, oturum açma arayüzünde bir kullanıcı adı numaralandırma sorununa karşı savunmasızdır. Oturum açma arayüzü, hem geçerli hem de geçersiz kullanıcı adları için genel bir yanıt döndürerek kullanıcı adı numaralandırmasını önlemeyi amaçlayan Ignoring unknown usernames adlı bir güvenlik özelliği içerir. Bu güvenlik açığı, kimliği doğrulanmamış bir saldırganın select account sayfasına rastgele userID'ler göndererek ve sistemin yanıtına göre geçerli ve geçersiz hesapları ayırt ederek bu korumayı atlatmasına olanak tanır. Etkili bir istismar için saldırganın olası userID'ler arasında yineleme yapması gerekir, ancak etki hız sınırlama veya benzeri önlemler uygulanarak sınırlandırılabilir. Sorun 4.0.3, 3.4.0 ve 2.71.15 sürümlerinde yamalanmıştır.
Nasıl düzeltilir
- zitadel zitadel2.71.15, 3.4.0, 4.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | v < 2.71.15, 3.0.0 ≤ v < 3.4.0, 4.0.0 ≤ v < 4.0.3 | 2.71.15, 3.4.0, 4.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.