Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-640

CVE-2026-119127

ZITADEL Login V2 host header enjeksiyonu nedeniyle hesap ele geçirme

zitadel

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
7 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, kimlik doğrulama sisteminizdeki hesapların kontrolünün dış bir saldırgana geçmesine yol açabilir. Yöneticiler dahil kullanıcı hesaplarında veri ve sistem erişimi kaybı riski yüksektir. Sürüm güncellemesinin hemen planlanması önerilir.

ÖzetTürkçe

ZITADEL 4.0.0 sürümünden 4.19.5 öncesi sürümlerde, Login V2 kullanıcı arayüzünde bir host header enjeksiyonu açığı bulunmaktadır. Kimlik doğrulaması yapılmamış bir saldırgan, güvenilmeyen x-zitadel-public-host, x-zitadel-forward-host veya x-forwarded-host başlıklarını göndererek şifre sıfırlama, davet ve e-posta doğrulama bağlantılarını kendi sunucusuna yönlendirebilir. Hedef kullanıcının oturum açma adını bilen saldırgan, bu bağlantıları içeren gerçek e-postaların tetiklenmesiyle tek kullanımlık kodları ele geçirebilir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın tek kullanımlık kodlarını toplayarak hesabı devralabilir ve bu yolla yönetici hesaplarını da dahil olmak üzere herhangi bir hesabın kontrolünü ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

ZITADEL 4.0.0 before 4.19.5 contains a host header injection vulnerability in the Login V2 UI that allows unauthenticated attackers to poison password-reset, invite, and email-verification links by supplying untrusted x-zitadel-public-host, x-zitadel-forward-host, or x-forwarded-host headers. Attackers knowing a victim's login name can point the links in genuine emails at their host, harvest the single-use codes when the links are opened, and take over accounts including instance administrators.

Ne yapmalı?

  1. ZITADEL'i 4.19.5 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme sonrasında yönetici hesaplarının ve son dönemde gelen şifre sıfırlama veya davet e-postalarının beklenmedik bağlantı içerip içermediğini kontrol edin. Genel öneri
  3. Şüpheli bir erişim tespit edilirse etkilenen hesapların şifrelerini ve oturumlarını sıfırlayın. Genel öneri

Ek önlemler

  • Ters proxy ve yük dengeleyici üzerinde dış istemciden gelen host ile ilgili başlıkların (x-forwarded-host gibi) kontrol edilmesini veya temizlenmesini sağlayın. Genel öneri
  • Yönetici hesaplarında çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
  • Kimlik doğrulama uygulamasının erişim ve e-posta gönderim kayıtlarını izleyerek olağan dışı şifre sıfırlama taleplerini takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
zitadel ≥ 4.0.0, < 4.19.5 4.19.5
4.19.5 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.