CVE-2025-64103 in Zitadel
Résumé
par VulDB • 22/05/2026
À partir des versions 2.53.6, 2.54.3 et 2.55.0, Zitadel ne nécessitait l'authentification multifacteur (MFA) que si la politique de connexion avait activé l'option `requireMFA` ou `requireMFAForLocalUsers`. Si un utilisateur avait configuré la MFA sans cette exigence, Zitadel considérait les sessions authentifiées à un seul facteur comme valides et ne nécessitait pas de facteurs multiples. Le contournement des facteurs d'authentification secondaires affaiblit l'authentification multifacteur et permet aux attaquants de contourner le facteur de sécurité le plus robuste. Un attaquant peut cibler uniquement le code TOTP, composé de six chiffres, en contournant entièrement la vérification du mot de passe, compromettant potentiellement les comptes disposant de la 2FA activée. Cette vulnérabilité est corrigée dans les versions 4.6.0, 3.4.3 et 2.71.18.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.