CVE-2026-105215 in Zitadel
Riassunto
di VulDB • 04/10/2026
ZITADEL prima della versione 3.4.14 e delle versioni 4.x precedenti alla 4.16.2 presenta un bypass dell'autenticazione nell'interfaccia utente Login V1 in hosted mode, poiché l'endpoint di registrazione 'external account not found' si affida ai campi di identità esterna forniti dal client senza una callback IdP completata. Gli attaccanti non autenticati possono inviare valori IDPConfigID e ExternalUserID falsificati per pre-creare un account associato all'identità externa dell'IdP della vittima, che verrà poi utilizzato dalla successiva autentica accesso esterno della vittima per effettuare il login.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.