CVE-2026-105210
Vulnérabilité élevée dans zitadel (zitadel)
CVSS 8.8 · Élevée
EPSS 0.2%
zitadel•zitadel•Versions : 4.17.1, 0, <3.4.15, <4.17.1, 3.4.15
Description
ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains a missing authentication flaw in the hosted Login V1 UI, whose second-factor enrollment and initialization handlers act on an identify-only session before any primary factor is verified. Attackers knowing only a victim's login name can enroll attacker-controlled TOTP, OTP-SMS, OTP-Email, or U2F factors, overwrite the verified phone number, and enumerate users through discrepant errors.
Gravité et risque d'exploitation
CVE-2026-105210 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.24 %, ce qui la place devant 13.7 % des CVE référencées.
Que faire ?
- Vérifiez si zitadel (versions 4.17.1, 0, <3.4.15, <4.17.1, 3.4.15) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.