Identificador / NVD
CVE-2026-105209
Ficha técnica de vulnerabilidade
Análise técnica
No ZITADEL, ao gerar códigos de inscrição para passkeys ou autenticação sem senha, o serviço verifica apenas o cabeçalho x-zitadel-orgid, ignorando a organização do usuário alvo. Um atacante com permissão de escrita em usuários de uma organização pode solicitar um código para um usuário de outra organização e registrar seu próprio autenticador, comprometendo a conta. A vulnerabilidade está presente nas versões 3.x <3.4.15 e 4.x <4.17.1.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains an improper authorization vulnerability: when issuing passkey or passwordless enrollment codes, it checks only the organization in the x-zitadel-orgid header, not the target user's organization. Attackers with user-write permission in one organization can obtain an enrollment code for a user in another organization on the same instance and register their own authenticator to take over that account.
Resposta recomendada
Aplique a atualização para ZITADEL 4.17.1 ou superior, que inclui a validação correta da organização. Como medida temporária, limite a geração de códigos de inscrição a administradores de confiança e monitore logs de criação de credenciais.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.