CVE-2026-105206

Orta

Açıklama

ZITADEL 3.0.0 ile 3.4.15 arası ve 4.17.3 öncesindeki 4.x sürümleri, User Service API içerisinde, user.read yetkisini hedef kullanıcının sahibi olduğu organizasyon yerine çağrıyı yapan kişinin organizasyonuna göre doğrulayan hatalı bir yetkilendirme açığı içermektedir. Org kapsamlı user.read yetkisine sahip kimliği doğrulanmış bir üye, diğer organizasyonlardaki kullanıcıların hangi kimlik doğrulama yöntemi türlerini kaydettiğini öğrenmek için GET /v2/users/{userId}/authentication_methods uç noktasını sorgulayabilir.

ÖnemOrta

CVSS5.3

İstismar olasılığı—

ÜrünZitadel

Yayın4 Eki 2026

İlk görülme4 Eki 2026

Zayıflık türüCWE-863Hatalı yetki denetimi

Nasıl düzeltilir

Güncelleyin

zitadel zitadel4.17.3 ya da sonraki bir sürüm

Üretici duyuruları

github.com/zitadel/zitadel/security/advisories/GHSA-j344-gqv4-84ff

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
zitadel zitadel	4.0.0 ≤ v < 4.17.3, 3.0.0 ≤ v ≤ 3.4.15	4.17.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.