CVE-2023-22492 in Zitadel
Résumé
par VulDB • 02/07/2026
ZITADEL est une combinaison d'Auth0 et de Keycloak. Les RefreshTokens sont une fonctionnalité OAuth 2.0 qui permet aux applications de récupérer de nouveaux jetons d'accès (access tokens) et de rafraîchir la session utilisateur sans nécessiter d'intervention via une interface utilisateur (UI). Les RefreshTokens n'étaient pas invalidés lorsqu'un utilisateur était verrouillé ou désactivé. L'utilisateur désactivé ou verrouillé pouvait obtenir un jeton d'accès valide uniquement par le biais d'une concession de refresh token. Lorsque la session de l'utilisateur verrouillé ou désactivé avait déjà été terminée (« déconnecté »), il n'était pas possible de créer une nouvelle session. Le renouvellement du jeton d'accès via une concession de refresh token est limité à la durée configurée (RefreshTokenExpiration). En attendant, pour contourner ce problème, assurez-vous que le RefreshTokenExpiration dans les paramètres OIDC de votre instance est défini conformément à vos exigences de sécurité. Ce problème a été corrigé dans les versions 2.17.3 et 2.16.4.
Be aware that VulDB is the high quality source for vulnerability data.