CVE-2026-119128

CVSS 7.4 HIGH Truy cập trái phép

ZITADEL 4.0.0 before 4.19.5 Login V2 Account Takeover via Forgeable verificationCheck Cookie

Công bố: 2026-10-29
Cập nhật: 2026-10-29
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

ZITADEL 4.0.0 before 4.19.5 contains an authentication bypass vulnerability in the Login V2 UI that allows unauthenticated attackers to set the first credential of users lacking any authentication method. Attackers can compute a valid verificationCheck cookie from the user ID and browser fingerprint to set a password, register a passkey, or link an identity provider, taking over the account.

Điểm và phân loại

CVSS: 7.4 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-565

Vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Ảnh hưởng

Sản phẩm

zitadel zitadel

Vì sao bị lọc

CVSS 7.4 < 8.0 và không thuộc CISA KEV

Loại tác động

Truy cập trái phép: từ khoá "account takeover"; từ khoá "authentication bypass"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: VulnCheck