CVE-2026-119127 in Zitadel
Zusammenfassung
von VulDB • 29.10.2026
ZITADEL 4.0.0 vor 4.19.5 enthält eine Host-Header-Injection-Schwachstelle (Host Header Injection) in der Login V2-Benutzeroberfläche, die es nicht authentifizierten Angreifern ermöglicht, Links zum Zurücksetzen von Passwörtern, zur Einladung und zur E-Mail-Verifikation zu vergiften, indem sie unzuverlässige `x-zitadel-public-host`-, `x-zitadel-forward-host`- oder `x-forwarded-host`-Header bereitstellen. Angreifer, die den Anmeldenamen eines Opfers kennen, können die Links in echten E-Mails auf ihren eigenen Host verweisen, die einmalig gültigen Codes (Single-use codes) abfangen, wenn die Links geöffnet werden, und Konten übernehmen, einschließlich der von Instanzadministratoren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.