Identificador / NVD
CVE-2026-105215
Ficha técnica de vulnerabilidade
Análise técnica
O login hospedado V1 do ZITADEL aceita campos de identidade externa fornecidos pelo cliente sem validar o retorno completo do fluxo de IdP, permitindo que um atacante crie uma conta vinculada a uma identidade externa arbitrária. Ao submeter valores falsos para IDPConfigID e ExternalUserID, o atacante precria a conta e, quando a vítima realiza login legítimo, o atacante obtém acesso. A vulnerabilidade afeta versões anteriores a 3.4.14 e 4.16.2.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
ZITADEL before 3.4.14 and 4.x before 4.16.2 contains an authentication bypass in the hosted Login V1 UI because the 'external account not found' registration endpoint trusts client-supplied external identity fields without a completed IdP callback. Unauthenticated attackers can submit forged IDPConfigID and ExternalUserID values to pre-create an account bound to a victim's external IdP identity, which the victim's later genuine external login then signs into.
Resposta recomendada
Atualize o ZITADEL para a versão 4.16.2 ou posterior, que implementa a validação completa do fluxo IdP. Como mitigação temporária, desative o registro automático via IdP externo e exija verificação manual de novas contas.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.