CVE-2025-46815 in Zitadel
Riassunto
di VulDB • 19/06/2026
Il software di infrastruttura delle identità ZITADEL offre agli sviluppatori la possibilità di gestire le sessioni utente tramite l'API Session. Questa API consente l'utilizzo degli IdP (Identity Provider) per l'autenticazione, noti come "idp intents". A seguito del completamento positivo di un idp intent, il client riceve un ID e un token su un URI predefinito. Tali ID e token possono quindi essere utilizzati per autenticare l'utente o la relativa sessione. Tuttavia, nelle versioni precedenti alla 3.0.0, alla 2.71.9 e alla 2.70.10, era possibile sfruttare questa funzionalità eseguendo ripetutamente gli intent. Ciò consentiva a un attaccante con accesso all'URI dell'applicazione di recuperare l'ID e il token, permettendogli di autenticarsi per conto dell'utente. È importante notare che l'utilizzo di fattori aggiuntivi (MFA) impedisce il completamento del processo di autenticazione e, di conseguenza, l'accesso all'API ZITADEL. Le versioni 3.0.0, 2.71.9 e 2.70.10 contengono una correzione per la vulnerabilità. Non sono disponibili workaround noti diversi dall'aggiornamento del software.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.