CVE-2026-105207

Kritik

Açıklama

ZITADEL 3.0.0 ile 3.4.15 arası ve 4.0.0 ile 4.17.3 öncesi sürümler; yalnızca kimlik belirleme amaçlı Login V2 oturumlarında ve User Service V2 AddIDPLink uç noktası üzerinden, birincil faktörü veya çağrının iznini doğrulamadan kullanıcı hesapları ile harici kimlik sağlayıcılar arasında bağlantılar oluşturur. Kurbanın giriş adını bilen kimliği doğrulanmamış bir saldırgan, kendi harici IdP kimliğini kurbanın hesabına bağlayabilir ve ardından kurban olarak giriş yapabilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

ÜrünZitadel

Yayın4 Eki 2026

İlk görülme4 Eki 2026

Zayıflık türüCWE-306Kritik işlevde kimlik doğrulama eksikliği

Nasıl düzeltilir

Güncelleyin

zitadel zitadel4.17.3 ya da sonraki bir sürüm

Üretici duyuruları

github.com/zitadel/zitadel/security/advisories/GHSA-g8gj-gq47-xgf4

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
zitadel zitadel	4.0.0 ≤ v < 4.17.3, 3.0.0 ≤ v ≤ 3.4.15	4.17.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.