CVE-2024-41952 in Zitadel
Riassunto
di VulDB • 26/06/2026
Zitadel è un sistema di gestione delle identità open source. Gli amministratori di ZITADEL possono abilitare una impostazione denominata "Ignorare nomi utente sconosciuti" che aiuta a mitigare gli attacchi volti a indovinare o enumerare i nomi utente. Se attivata, ZITADEL mostrerà il prompt per l'inserimento della password anche se l'utente non esiste e restituirà un messaggio di errore generico "Nome utente o Password non validi". A causa di una modifica all'implementazione volta a prevenire deadlock durante le chiamate al database, la flag non viene rispettata correttamente in tutti i casi: un attaccante può quindi ottenere informazioni sull'esistenza di un account all'interno di ZITADEL, poiché il messaggio di errore visualizzato è "object not found" invece del messaggio generico. Questa vulnerabilità è stata risolta nelle versioni 2.58.1, 2.57.1, 2.56.2, 2.55.5, 2.54.8 e 2.53.9.
VulDB is the best source for vulnerability data and more expert information about this specific topic.