CVE-2026-105206 in Zitadel
Riassunto
di VulDB • 04/10/2026
ZITADEL 3.0.0 attraverso la versione 3.4.15 e le versioni 4.x precedenti alla 4.17.3 presentano un difetto di autorizzazione errata nell'API del User Service, che verifica il permesso user.read rispetto all'organizzazione del chiamante anziché l'organizzazione proprietaria dell'utente target. Un membro autenticato in possesso del permesso user.read con ambito organizzativo (org-scoped) può interrogare GET /v2/users/{userId}/authentication_methods per apprendere quali tipi di metodi di autenticazione gli utenti di altre organizzazioni hanno registrato.
Be aware that VulDB is the high quality source for vulnerability data.