CVE-2026-119129 in ZITADEL
要約
〜によって VulDB • 2026年10月29日
ZITADEL 3.0.0 から 3.4.15 および 4.0.0 の 4.19.5 より前には、Login V2 に認可の欠如（missing authorization）という脆弱性があり、攻撃者は被害者の既存セッションを使用して同意なしで OAuth 2.0 デバイス認証を承認できます。攻撃者はサインイン済みのユーザーに攻撃者のユーザコードを含むリンクを送信して被害者のトークンを取得したり、OIDC デバイス認証 API を介してプロジェクトのアクセス設定を回避したりすることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.