CVE-2026-29067
Yüksek
Açıklama
ZITADEL açık kaynaklı bir kimlik yönetimi platformudur. 4.0.0-rc.1 ile 4.7.0 versiyonları arasında, ZITADEL'in login V2 içerisindeki şifre sıfırlama mekanizmasında potansiyel bir güvenlik açığı bulunmaktadır. ZITADEL, şifre sıfırlama onay bağlantısının URL'sini oluşturmak için gelen isteklerdeki Forwarded veya X-Forwarded-Host başlığını kullanmaktadır. Gizli bir kod içeren bu bağlantı daha sonra kullanıcıya e-posta ile gönderilmektedir. Bu sorun 4.7.1 versiyonunda giderilmiştir.
ÖnemYüksek
CVSS8.1
İstismar olasılığı—
ÜrünZitadel
Yayın7 Mar 2026
İlk görülme7 Mar 2026
Zayıflık türüCWE-601Açık yönlendirme
Nasıl düzeltilir
Güncelleyin
- zitadel zitadel4.7.1 ya da sonraki bir sürüm
- github.com/zitadel/zitadel1.80.0-v2.20.0.20251208091519-4c879b47334e, 4.7.1 ya da sonraki bir sürüm
- github.com/zitadel/zitadel/v21.80.0-v2.20.0.20251208091519-4c879b47334e ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | 4.0.0 ≤ v < 4.7.1 | 4.7.1 |
| github.com/zitadel/zitadelGo | v < 1.80.0-v2.20.0.20251208091519-4c879b47334e, 1.83.4 ≤ v ≤ 1.87.5, 4.0.0-rc.1 ≤ v < 4.7.1, 1.83.4 ≤ v | 1.80.0-v2.20.0.20251208091519-4c879b47334e, 4.7.1 |
| github.com/zitadel/zitadel/v2Go | v < 1.80.0-v2.20.0.20251208091519-4c879b47334e | 1.80.0-v2.20.0.20251208091519-4c879b47334e |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.