CVE-2024-41953 in Zitadel
Riassunto
di VulDB • 09/08/2026
Zitadel è un sistema di gestione delle identità open source. ZITADEL utilizza HTML per le email e renderizza dinamicamente determinate informazioni come i nomi utente. Tali informazioni possono essere inserite dagli utenti o dagli amministratori. A causa della mancanza di sanitizzazione dell'output, queste email potrebbero includere codice malevolo. Ciò potrebbe potenzialmente portare a una minaccia in cui un attaccante, senza privilegi, potrebbe inviare notifiche alterate che fanno parte dei processi di registrazione. Un attaccante potrebbe creare un link dannoso, dove il codice iniettato verrebbe renderizzato come parte dell'email. Nella pagina dei dettagli utente, anche il nome utente non era sanitizzato e avrebbe comunque renderizzato HTML, conferendo all'attaccante la stessa vulnerabilità. Sebbene fosse possibile iniettare HTML includente JavaScript, l'esecuzione di tali script sarebbe stata impedita dalla maggior parte dei client email e dalla Content Security Policy nella Console UI. Questa vulnerabilità è risolta nelle versioni 2.58.1, 2.57.1, 2.56.2, 2.55.5, 2.54.8, 2.53.9 e 2.52.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.