CVE-2026-119129

Mở trang đầy đủ

CVSS 8.1 HIGH Truy cập trái phép

ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.19.5 Account Takeover via Device Authorization Approval

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.19.5 contains a missing authorization vulnerability in Login V2 that allows attackers to approve OAuth 2.0 device authorizations using a victim's existing session without consent. Attackers can send a signed-in user a link carrying the attacker's user code to obtain the victim's tokens, and can bypass project access settings via the OIDC device authorization API.

Điểm và phân loại

CVSS
8.1 HIGH v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
—
CWE
CWE-862

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Ảnh hưởng

Sản phẩm

  • zitadel zitadel

Vì sao được giữ

  • CVSS 8.1 >= 8.0

Loại tác động

Truy cập trái phép
CWE-862; từ khoá "account takeover"; từ khoá "missing authorization"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck
CVE.org · SSVC
Tự động hoá được: yes · Khai thác: none · Tác động kỹ thuật: total

Tham khảo