Identificador / NVD
CVE-2026-105213
Ficha técnica de vulnerabilidade
Análise técnica
O código de autenticação Login V2 não verifica o estado da organização, apenas o status do usuário. Assim, usuários de organizações desativadas podem autenticar-se com credenciais válidas, sessões existentes ou refresh tokens. Isso permite a criação de novas sessões e a obtenção de tokens mesmo após a desativação da organização.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL 4.x before 4.17.1 does not check an organization's inactive state during Login V2 authentication, verifying only the individual user's status. Users of a deactivated organization who hold valid credentials, an existing session, or a refresh token can still sign in, create sessions, and obtain or refresh tokens.
Resposta recomendada
Aplicar a atualização para ZITADEL 4.17.1 ou posterior; como medida temporária, bloquear logins de organizações inativas via política de autorização.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.