CVE-2026-105209
Beschrijving NL
ZITADEL 3.x vóór 3.4.15 en 4.x vóór 4.17.1 bevat een ongepaste autorisatiekwetsbaarheid: bij het uitgeven van wachtwoordsleutel- of wachtwoordloze inschrijvingscodes controleert het alleen de organisatie in de x-zitadel-orgid-header, niet de organisatie van de doelgebruiker. Aanvallers met toestemming voor het schrijven van gebruikers in de ene organisatie kunnen een inschrijvingscode verkrijgen voor een gebruiker in een andere organisatie in dezelfde instantie en hun eigen authenticator registreren om dat account over te nemen.
Origineel (Engels) tonen
ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains an improper authorization vulnerability: when issuing passkey or passwordless enrollment codes, it checks only the organization in the x-zitadel-orgid header, not the target user's organization. Attackers with user-write permission in one organization can obtain an enrollment code for a user in another organization on the same instance and register their own authenticator to take over that account.