Identificador / NVD
CVE-2026-105207
Ficha técnica de vulnerabilidade
Análise técnica
A falha permite que um atacante não autenticado associe uma identidade de provedor externo a uma conta de usuário alvo no ZITADEL, sem validar fator primário ou permissões do chamador. O atacante precisa apenas conhecer o nome de login da vítima e pode usar o endpoint User Service V2 AddIDPLink. Após a vinculação, o atacante pode autenticar-se como a vítima usando o IdP comprometido. Essa vulnerabilidade afeta versões 3.0.0 a 3.4.15 e 4.0.0 a 4.17.2.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.17.3 creates links between user accounts and external identity providers without verifying a primary factor or the caller's permission, including on identify-only Login V2 sessions and via the User Service V2 AddIDPLink endpoint. An unauthenticated attacker knowing a victim's login name can bind their own external IdP identity to the victim's account and then sign in as the victim.
Resposta recomendada
Atualize o ZITADEL para a versão 4.17.3 ou posterior, que corrige a verificação de permissões. Enquanto isso, desabilite a criação de links de IdP externos ou restrinja o endpoint a usuários autenticados com privilégios de administração.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.