CVE-2026-44671
Açıklama
ZITADEL açık kaynaklı bir kimlik yönetimi platformudur. 2.71.11 ile 3.4.10 ve 4.15.0 sürümleri arasındakilerde, ZITADEL'in LDAP kimlik sağlayıcı uygulamasında, kullanıcı tarafından sağlanan kullanıcı adlarının LDAP arama filtrelerine dahil edilmeden önce uygun şekilde kaçırılmadığı (escape) bir güvenlik açığı keşfedilmiştir. Bu durum, kimliği doğrulanmamış saldırganların giriş işlemi sırasında LDAP Filter Injection gerçekleştirmesine olanak tanır. Bu güvenlik açığı tam bir kimlik doğrulama atlatmaya izin vermese de, bir saldırgan kör LDAP enjeksiyonu yapmak için LDAP meta karakterlerini (*, (, ) gibi) kullanabilir. Farklı hata (veya başarı) yanıtlarını gözlemleyerek, bir saldırgan sistematik olarak geçerli kullanıcı adlarını listeleyebilir ve bağlı LDAP dizininden hassas öznitelik verilerini çıkarabilir. Bu güvenlik açığı 3.4.10 ve 4.15.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- zitadel zitadel3.4.10, 4.15.0 ya da sonraki bir sürüm
- github.com/zitadel/zitadel4.15.0, 3.4.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | 2.71.11 ≤ v < 3.4.10, 4.0.0 ≤ v < 4.15.0 | 3.4.10, 4.15.0 |
| github.com/zitadel/zitadelGo | 4.0.0 ≤ v < 4.15.0, 2.71.11 ≤ v ≤ 2.71.19, 3.1.0 ≤ v < 3.4.10, Aralık belirtilmemiş | 4.15.0, 3.4.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.