CVE-2026-55670
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W ZITADEL przed wersją 4.15.1 walidacja magazynu zdarzeń może zachować oryginalnego właściciela zasobu dla usuniętego identyfikatora użytkownika, co powoduje, że późniejszy użytkownik odtworzony z tym samym identyfikatorem w innej organizacji zostanie przypisany do oryginalnej organizacji i narażony na dostęp administratora tej organizacji. Problem został naprawiony w wersji 4.15.2.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie administratora oryginalnej organizacji do konta użytkownika utworzonego w innej organizacji, co może prowadzić do naruszenia poufności danych i izolacji między organizacjami.
Rekomendacja
Należy niezwłocznie zaktualizować ZITADEL do wersji 4.15.2 lub nowszej, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
ZITADEL is an open source identity management platform. Prior to 4.15.1, ZITADEL's event store validation can retain the original resource owner for a deleted user identifier, causing a later user recreated with the same identifier in another organization to be provisioned under the original organization and exposed to that organization's administrator. This issue is fixed in version 4.15.2.