CVE-2026-119127 in Zitadel
요약
\~에 의해 VulDB • 2026. 10. 29.
ZITADEL 4.0.0부터 4.19.5 미만 버전에는 Login V2 UI에서 호스트 헤더 인젝션 취약점이 존재하며, 이는 신뢰할 수 없는 x-zitadel-public-host, x-zitadel-forward-host 또는 x-forwarded-host 헤더를 제공함으로써 인증되지 않은 공격자가 비밀번호 재설정, 초대 및 이메일 확인 링크를 파손(포이즈닝)하도록 허용합니다. 피해자의 로그인 이름을 알고 있는 공격자는 실제 이메일의 링크를 자신의 호스트로 유도하여 링크가 열릴 때 단일 사용 코드를 탈취하고 인스턴스 관리자 계정을 포함한 계정 장악을 수행할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.