CVE-2024-41953 in Zitadel
Sumário
de VulDB • 31/07/2026
O Zitadel é um sistema de gerenciamento de identidade de código aberto. O ZITADEL utiliza HTML para e-mails e renderiza dinamicamente certas informações, como nomes de usuário. Essas informações podem ser inseridas por usuários ou administradores. Devido à falta de sanitização na saída (output), esses e-mails poderiam incluir código malicioso. Isso pode potencialmente levar a uma ameaça em que um atacante, sem privilégios, poderia enviar notificações alteradas que fazem parte dos processos de registro. Um atacante poderia criar um link malicioso, onde o código injetado seria renderizado como parte do e-mail. Na página de detalhes do usuário, o nome de usuário também não era sanitizado e renderizaria HTML, proporcionando ao atacante a mesma vulnerabilidade. Embora fosse possível injetar HTML incluindo JavaScript, a execução desses scripts seria impedida pela maioria dos clientes de e-mail e pela Política de Segurança de Conteúdo (Content Security Policy) na Interface da Web do Console. Esta vulnerabilidade foi corrigida nas versões 2.58.1, 2.57.1, 2.56.2, 2.55.5, 2.54.8, 2.53.9 e 2.52.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.