CVE-2026-105211
Beschrijving NL
ZITADEL vóór 4.17.1 bevat een beveiligingslek voor het omzeilen van authenticatie in Login V2 waarmee niet-geverifieerde aanvallers accounts kunnen overnemen door OTP-codes te verkrijgen via het type retourCode-levering. Aanvallers die een inlognaam kennen van een slachtoffer met OTP-e-mail en OTP-SMS die zijn ingeschreven, kunnen beide codes lezen uit reacties op serveracties om MFA-geverifieerde sessies te krijgen, inclusief overname door de beheerder.
Origineel (Engels) tonen
ZITADEL before 4.17.1 contains an authentication bypass vulnerability in Login V2 that allows unauthenticated attackers to take over accounts by obtaining OTP codes via the returnCode delivery type. Attackers knowing a login name of a victim with OTP-Email and OTP-SMS enrolled can read both codes from server-action responses to gain MFA-authenticated sessions, including administrator takeover.