CVE-2026-105213

Zitadel przed wersją 4.16.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która umożliwia atakującym zmuszenie serwera do wysyłania żądań do wewnętrznych zasobów poprzez weryfikację domen organizacji. Pobieranie wyzwania używa domyślnego http.Get zamiast chronionego klienta, więc atakujący mogą rejestrować domeny przekierowujące na adresy loopback, wewnętrzne lub metadane chmury, aby skanować porty i mapować sieć wewnętrzną.

ZITADEL 3.x przed 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanych interfejsach Login V1 i Login V2, które akceptuje rejestrację passkey lub innych uwierzytelniaczy w sesjach typu identify-only, przed weryfikacją jakiegokolwiek czynnika podstawowego. Nieuwierzytelnieni atakujący znający tylko login ofiary mogą zarejestrować uwierzytelniacz kontrolowany przez atakującego i zalogować się jako ten użytkownik, omijając istniejące hasła i MFA.

ZITADEL przed 4.17.1 zawiera podatność obejścia uwierzytelniania w Login V2, która pozwala nieuwierzytelnionym atakującym na przejęcie kont poprzez uzyskanie kodów OTP za pomocą typu dostarczania returnCode. Atakujący znający login ofiary z włączonymi OTP-Email i OTP-SMS mogą odczytać oba kody z odpowiedzi akcji serwera, aby uzyskać sesje uwierzytelnione MFA, w tym przejęcie administratora.

ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera brak uwierzytelniania w hostowanym interfejsie Login V1, którego procedury rejestracji i inicjalizacji drugiego czynnika działają na sesji identify-only przed weryfikacją jakiegokolwiek czynnika podstawowego. Atakujący znający tylko login ofiary mogą zarejestrować kontrolowane przez siebie czynniki TOTP, OTP-SMS, OTP-Email lub U2F, nadpisać zweryfikowany numer telefonu oraz enumerować użytkowników poprzez rozbieżne błędy.

ZITADEL 4.x przed 4.17.3 oraz 3.x do 3.4.15 chroni tokeny intencji IdP nieuwierzytelnionym, modyfikowalnym szyfrowaniem, co pozwala uwierzytelnionym użytkownikom manipulować własnym tokenem, aby został on zaakceptowany dla intencji logowania zewnętrznego innego użytkownika. Atakujący, który przewidzi identyfikator intencji ofiary w locie i wygra wyścig czasowy, może wywołać /v2/idp_intents lub /v2/sessions, aby ukraść tokeny IdP ofiary lub przejąć jej sesję.

ZITADEL w wersjach od 3.0.0 do 3.4.15 oraz 4.x przed 4.17.3 zawiera błąd nieprawidłowej autoryzacji w User Service API, który weryfikuje uprawnienie user.read względem organizacji wywołującego, a nie organizacji będącej właścicielem docelowego użytkownika. Uwierzytelniony członek z uprawnieniem user.read w zakresie organizacji może odpytać GET /v2/users/{userId}/authentication_methods, aby poznać typy metod uwierzytelniania zarejestrowanych przez użytkowników z innych organizacji.

ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.

ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.

ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.

ZITADEL to narzędzie infrastruktury tożsamości open-source. Wersje 4.7.0 i niższe są podatne na nieuwierzytelnioną podatność SSRF z pełnym odczytem. Interfejs logowania ZITADEL (V2) traktuje nagłówek x-zitadel-forward-host jako zaufany fallback dla wszystkich wdrożeń, w tym samodzielnie hostowanych instancji. Pozwala to nieuwierzytelnionemu atakującemu zmusić serwer do wykonywania żądań HTTP do dowolnych domen, takich jak adresy wewnętrzne, i odczytywania odpowiedzi, co umożliwia eksfiltrację danych i obejście kontroli segmentacji sieci. Problem został naprawiony w wersji 4.7.1.