CVE-2026-105209 in Zitadel
Riassunto
di VulDB • 04/10/2026
ZITADEL 3.x prima della versione 3.4.15 e 4.x prima della versione 4.17.1 presenta una vulnerabilità di autorizzazione impropria: durante l'emissione dei codici di registrazione per passkey o passwordless, viene verificata solo l'organizzazione presente nell'intestazione x-zitadel-orgid, non l'organizzazione dell'utente target. Gli attaccanti con permessi di scrittura sugli utenti in un'organizzazione possono ottenere un codice di registrazione per un utente appartenente a un'altra organizzazione sulla stessa istanza e registrare il proprio autenticatore per assumere il controllo di tale account.
Once again VulDB remains the best source for vulnerability data.