Identificador / NVD
CVE-2026-105212
Ficha técnica de vulnerabilidade
Análise técnica
As UIs de login V1 e V2 do ZITADEL aceitam enrolamento de passkey ou outro autenticador em sessões apenas de identidade, antes da verificação do fator primário. Um atacante que conhece o nome de login pode registrar um autenticador controlado e autenticar-se como a vítima, ignorando senha e MFA existentes.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL 3.x before 3.4.14 and 4.x before 4.16.2 contains an authentication bypass in the hosted Login V1 and Login V2 UIs that accepts passkey or other authenticator enrollment on identify-only login sessions, before any primary factor is verified. Unauthenticated attackers knowing only a victim's login name can register an attacker-controlled authenticator and log in as that user, bypassing existing passwords and MFA.
Resposta recomendada
Atualizar para ZITADEL 3.4.14 ou 4.16.2; como medida paliativa, desativar o enrolamento de novos autenticadores via UI pública até a correção.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.