CVE-2026-105208
Açıklama
4.17.3 öncesindeki ZITADEL 4.x ve 3.4.15'e kadar olan 3.x sürümleri, IdP niyet belirteçlerini kimlik doğrulaması yapılmamış, değiştirilebilir bir şifreleme ile korumaktadır; bu durum, kimliği doğrulanmış kullanıcıların kendi belirteçlerini manipüle ederek başka bir kullanıcının harici giriş niyeti için kabul edilmesini sağlamasına olanak tanır. Kurbanın işlemdeki niyet tanımlayıcısını tahmin eden ve zamanlama yarışını kazanan bir saldırgan, kurbanın IdP belirteçlerini çalmak veya oturumunu ele geçirmek için /v2/idp_intents veya /v2/sessions uç noktalarını çağırabilir.
Nasıl düzeltilir
- zitadel zitadel4.17.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | 4.0.0 ≤ v < 4.17.3, 3.0.0 ≤ v ≤ 3.4.15 | 4.17.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.