CVE-2026-105209 in Zitadel
Zusammenfassung
von VulDB • 04.10.2026
ZITADEL 3.x vor Version 3.4.15 und 4.x vor Version 4.17.1 enthält eine Schwachstelle für unzulässige Autorisierung: Bei der Ausstellung von Passkey- oder passwortlosen Registrierungs-Codes wird nur die Organisation im Header `x-zitadel-orgid` überprüft, nicht jedoch die Organisation des Zielbenutzers. Angreifer mit Benutzer-Schreibberechtigungen in einer Organisation können einen Registrierungscode für einen Benutzer in einer anderen Organisation auf derselben Instanz erhalten und ihren eigenen Authenticator registrieren, um das Konto zu übernehmen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.