CVE-2026-105214
Beschrijving NL
Zitadel vóór 4.16.2 bevat een kwetsbaarheid voor het vervalsen van serververzoeken waarmee aanvallers de server interne bronnen kunnen laten aanvragen via HTTP-verificatie van het organisatiedomein. De challenge-fetch gebruikt Go's standaard http.Get in plaats van de beschermde client, zodat aanvallers domeinen kunnen registreren die doorverwijzen naar loopback-, interne of cloud-metagegevensadressen om poorten te scannen en interne netwerken in kaart te brengen.
Origineel (Engels) tonen
Zitadel before 4.16.2 contains a server-side request forgery vulnerability that allows attackers to make the server request internal resources through organization domain HTTP verification. The challenge fetch uses Go's default http.Get instead of the protected client, so attackers can register domains that redirect to loopback, internal, or cloud metadata addresses to scan ports and map internal networks.