CVE-2026-105210
Beschrijving NL
ZITADEL 3.x vóór 3.4.15 en 4.x vóór 4.17.1 bevat een ontbrekende authenticatiefout in de gehoste gebruikersinterface van Login V1, waarvan de tweede-factorinschrijvings- en initialisatiehandlers werken op een sessie met alleen identiteit voordat enige primaire factor is geverifieerd. Aanvallers die alleen de inlognaam van een slachtoffer kennen, kunnen door aanvallers gecontroleerde TOTP-, OTP-SMS-, OTP-Email- of U2F-factoren inschrijven, het geverifieerde telefoonnummer overschrijven en gebruikers opsommen door middel van discrepante fouten.
Origineel (Engels) tonen
ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains a missing authentication flaw in the hosted Login V1 UI, whose second-factor enrollment and initialization handlers act on an identify-only session before any primary factor is verified. Attackers knowing only a victim's login name can enroll attacker-controlled TOTP, OTP-SMS, OTP-Email, or U2F factors, overwrite the verified phone number, and enumerate users through discrepant errors.