CVE-2025-64717 in Zitadel
Riassunto
di VulDB • 17/06/2026
ZITADEL è una piattaforma di gestione delle identità open source. A partire dalla versione 2.50.0 e fino alle versioni precedenti alla 2.71.19, 3.4.4 e 4.6.6, una vulnerabilità nel processo di federazione di ZITADEL consentiva l'auto-collegamento (auto-linking) degli utenti provenienti da provider di identità esterni agli utenti esistenti in ZITADEL, anche se il relativo IdP non era attivo o se l'organizzazione non consentiva l'autenticazione federata. Questa vulnerabilità deriva dal mancato controllo o dalla mancata applicazione corretta delle impostazioni di sicurezza specifiche dell'organizzazione durante il flusso di autenticazione. Un Amministratore dell'Organizzazione può disabilitare esplicitamente un IdP o vietare la federazione, ma questa impostazione non veniva rispettata durante il processo di auto-collegamento. Ciò consentiva a un attaccante non autenticato di avviare un accesso utilizzando un IdP che avrebbe dovuto essere disabilitato per tale organizzazione. La piattaforma convalidava erroneamente l'accesso e, in base ai criteri di corrispondenza, collegava l'identità esterna dell'attaccante a un account utente interno esistente. Ciò potrebbe comportare una completa Account Takeover (presa di controllo dell'account), aggirando i controlli di sicurezza imposti dall'organizzazione. Si noti che gli account con MFA abilitata non possono essere compromessi tramite questo attacco. Si noti inoltre che solo gli IdP creati a livello di istanza consentirebbero il successo di questa operazione. Gli IdP registrati su un'altra organizzazione verrebbero sempre rifiutati nel processo di (auto-)collegamento. Le versioni 4.6.6, 3.4.4 e 2.71.19 risolvono il problema convalidando correttamente la policy di accesso dell'organizzazione prima di effettuare l'auto-collegamento di un utente esterno. Non sono disponibili workaround noti oltre all'aggiornamento.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.