Identificador / NVD
CVE-2026-105208
Ficha técnica de vulnerabilidade
Análise técnica
Tokens de intenção IdP são protegidos por criptografia maleável e não autenticada no ZITADEL 4.x <4.17.3 e 3.x ≤3.4.15. Usuários autenticados podem modificar seu próprio token para que seja aceito como intenção de login de outro usuário, prevendo o identificador e vencendo uma corrida de tempo. Isso permite roubo de tokens IdP ou hijack de sessão.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL 4.x before 4.17.3 and 3.x through 3.4.15 protects IdP intent tokens with unauthenticated, malleable encryption, allowing authenticated users to tamper with their own token so it is accepted for another user's external login intent. An attacker who predicts a victim's in-flight intent identifier and wins a timing race can call /v2/idp_intents or /v2/sessions to steal the victim's IdP tokens or hijack their session.
Resposta recomendada
Atualizar para ZITADEL 4.17.3 ou posterior; enquanto isso, desabilitar login federado via IdP ou validar a integridade dos tokens antes da aceitação.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.