جزئیات آسیب‌پذیری
CVE-2026-54693
zitadel zitadel
ZITADEL Users Can Self-Verify Email/Phone via API
CVSS 4.0
8.2بالا
شرح رسمی (انگلیسی)
ZITADEL is an open source identity management platform. From 2.43.0 through 2.71.19, from 3.0.0 until 3.4.11, and from 4.0.0 until 4.15.1, the email and phone self-management API paths in internal/command/user_v2_email.go, internal/command/user_v2_phone.go, and internal/command/user_v2_human.go allowed users to request returned verification codes without the required permission, allowing users to claim ownership of email addresses or phone numbers they do not control and bypass email-based or phone-based security policies. This issue is fixed in versions 3.4.11 and 4.15.1.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.2بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| zitadel | zitadel | >= 2.43.0, <= 2.71.19 | CVEProject cvelistV5 (CNA) |
| zitadel | zitadel | >= 3.0.0-rc.1, < 3.4.11 | CVEProject cvelistV5 (CNA) |
| zitadel | zitadel | >= 4.0.0-rc.1, < 4.15.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://github.com/zitadel/zitadel/security/advisories/GHSA-jq8w-8q2f-ffm9 x_refsource_CONFIRM
- https://github.com/zitadel/zitadel/commit/90f310212d3a5075084a603bf61fed549c92956d x_refsource_MISC
- https://github.com/zitadel/zitadel/commit/a1748b2f0326ddf7be0de44b4f980ae2c07c0151 x_refsource_MISC
- https://github.com/zitadel/zitadel/commit/ed09b3df7f43e870423e4d8f2757e6894481604f x_refsource_MISC
- https://github.com/zitadel/zitadel/releases/tag/v3.4.11 x_refsource_MISC
- https://github.com/zitadel/zitadel/releases/tag/v4.15.1 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۵/۰۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۵/۰۷
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۵۷٪
احتمال بهره‌برداری در ۳۰ روز
۴۷٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-863Incorrect Authorization