CVE-2026-105212
Vulnérabilité élevée dans zitadel (zitadel)
CVSS 8.7 · Élevée
EPSS 0.3%
zitadel•zitadel•Versions : <3.4.14, 4.16.2, 3.4.14, <4.16.2, 0
Description
ZITADEL 3.x before 3.4.14 and 4.x before 4.16.2 contains an authentication bypass in the hosted Login V1 and Login V2 UIs that accepts passkey or other authenticator enrollment on identify-only login sessions, before any primary factor is verified. Unauthenticated attackers knowing only a victim's login name can register an attacker-controlled authenticator and log in as that user, bypassing existing passwords and MFA.
Gravité et risque d'exploitation
CVE-2026-105212 obtient un score CVSS de 8.7/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.32 %, ce qui la place devant 23.7 % des CVE référencées.
Que faire ?
- Vérifiez si zitadel (versions <3.4.14, 4.16.2, 3.4.14, <4.16.2, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.