Identificador / NVD
CVE-2026-105210
Ficha técnica de vulnerabilidade
Análise técnica
Falha de autenticação na UI de login V1 do ZITADEL. Os manipuladores de enrolamento de segundo fator operam em uma sessão apenas de identidade antes da verificação do fator primário. Um atacante que conhece o nome de usuário pode registrar TOTP, OTP‑SMS, OTP‑Email ou U2F controlados, sobrescrever o número de telefone verificado e enumerar usuários por mensagens de erro distintas.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains a missing authentication flaw in the hosted Login V1 UI, whose second-factor enrollment and initialization handlers act on an identify-only session before any primary factor is verified. Attackers knowing only a victim's login name can enroll attacker-controlled TOTP, OTP-SMS, OTP-Email, or U2F factors, overwrite the verified phone number, and enumerate users through discrepant errors.
Resposta recomendada
Atualizar para ZITADEL 3.4.15 ou 4.17.1; se não for possível, desabilitar o enrolamento de MFA via UI pública e restringir o acesso ao endpoint.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.