CVE-2026-105207
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.3%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 4 Ekim 2026
ZITADEL 3.0.0 ile 3.4.15 ve 4.0.0'dan önce 4.17.3, birincil faktörü veya çağırıcının iznini doğrulamadan, yalnızca kimlik doğrulama oturumları ve User Service V2 AddIDPLink uç noktası aracılığıyla dahil olmak üzere, kullanıcı hesapları ile dış kimlik sağlayıcıları arasında bağlantılar oluşturur. Bir saldırgan, kurbanın oturum açma adını bildiği takdirde, kurbanın hesabına kendi dış IdP kimliğini bağlayabilir ve daha sonra kurban olarak oturum açabilir.
Orijinal açıklama (İngilizce)
ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.17.3 creates links between user accounts and external identity providers without verifying a primary factor or the caller's permission, including on identify-only Login V2 sessions and via the User Service V2 AddIDPLink endpoint. An unauthenticated attacker knowing a victim's login name can bind their own external IdP identity to the victim's account and then sign in as the victim.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.