Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-119129

ZITADEL Login V2'de cihaz yetkilendirme onayında yetki kontrolü eksikliği

zitadel

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
29 Eki 2026
Açık yaşı
7 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sistemde oturumu açık kullanıcıların hesaplarının kötü niyetli kişilerce ele geçirilmesine yol açabilir. Kullanıcıların kimlik bilgileri ve verilerine erişim riski doğurduğu için öncelikli olarak ele alınmalıdır. Etkilenen sürümler, düzeltilmiş sürüme hemen yükseltilmelidir.

ÖzetTürkçe

ZITADEL'in 3.0.0 ile 3.4.15 arası sürümleri ile 4.0.0'ın 4.19.5 öncesi sürümleri, Login V2 bileşeninde yetki kontrolü eksikliği içerir. Bu sayede saldırgan, oturumu açık olan bir kullanıcının mevcut oturumunu kullanarak OAuth 2.0 cihaz yetkilendirmelerini kullanıcının onayı olmadan onaylatabilir. Etkilenen, ZITADEL kimlik doğrulama hizmetini kullanan kuruluş ve kullanıcılardır.

Saldırgan ne yapabilir?

Saldırgan, saldırgan kontrolündeki kullanıcı koduyla hazırlanmış bir bağlantıyla oturumu açık kullanıcıyı yönlendirerek kurbanın erişim belirteçlerini ele geçirebilir ve hesabı devralabilir. Ayrıca OIDC cihaz yetkilendirme API'si üzerinden proje erişim ayarları atlatılabilir.

Kaynaktaki açıklama (İngilizce)

ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.19.5 contains a missing authorization vulnerability in Login V2 that allows attackers to approve OAuth 2.0 device authorizations using a victim's existing session without consent. Attackers can send a signed-in user a link carrying the attacker's user code to obtain the victim's tokens, and can bypass project access settings via the OIDC device authorization API.

Ne yapmalı?

  1. ZITADEL'i 4.19.5 veya üzeri bir sürüme yükseltin. 3.x dalında kullanıyorsanız, satıcının belirttiği etkilenmeyen sürümlere geçiş yapın; 3.4.15 ve öncesi 3.x sürümleri etkilenmektedir. Üretici
  2. Yükseltmeden sonra cihaz yetkilendirme onaylarının beklenen şekilde kullanıcı onayı istediğini test edin. Genel öneri
  3. Yükseltme yapılana kadar şüpheli veya beklenmeyen cihaz yetkilendirme bağlantılarına kullanıcıların tıklamaması konusunda kullanıcıları bilgilendirin. Genel öneri

Ek önlemler

  • Kimlik doğrulama sunucusu erişim ve OAuth yetkilendirme kayıtlarını düzenli olarak izleyin ve olağandışı cihaz yetkilendirme onaylarını inceleyin. Genel öneri
  • Şüpheli oturum açma olaylarında ilgili kullanıcıların erişim belirteçlerini iptal edin ve parolalarını değiştirmelerini sağlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
zitadel ≥ 4.0.0, < 4.19.5 4.19.5
4.19.5 Etkilenmiyor –
≥ 3.0.0, ≤ 3.4.15 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.