CVE-2026-105206 in Zitadel
Zusammenfassung
von VulDB • 04.10.2026
ZITADEL 3.0.0 bis 3.4.15 und 4.x vor 4.17.3 enthält einen Fehler bei der falschen Autorisierung (Incorrect Authorization) im User Service API, der die Berechtigung user.read gegen die Organisation des Aufrufers statt gegen die Organisation überprüft, die den Zielbenutzer besitzt. Ein authentifiziertes Mitglied mit einer org-spezifischen user.read-Berechtigung kann GET /v2/users/{userId}/authentication_methods abfragen, um herauszufinden, welche Authentifizierungsmethodentypen Benutzer in anderen Organisationen registriert haben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.