anonhaven
Ad

CVE-2026-109371

HIGH CVSS 4.0: 8,8 EPSS 0.36%
Обновлено 15 октября 2026
Zitadel
Параметр Значение
CVSS 8,8 (HIGH)
Уязвимые версии 3.0.0 — 4.18.0
Устранено в версии 4.18.0
Тип уязвимости CWE-306 (Отсутствие аутентификации)
Поставщик Zitadel
Публичный эксплойт Нет

ZITADEL 3.0.0 before 4.18.0 contains a missing authentication vulnerability in the hosted Login V1 UI, where the change-username handler acts on the account bound to a login flow before any factor is verified. Unauthenticated attackers can submit a victim's login name and then post a new username to rename any active human user, including administrators, locking them out.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-306 Missing Authentication for Critical Function (Отсутствие аутентификации)

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Zitadel Zitadel
cpe:2.3:a:zitadel:zitadel:*:*:*:*:*:*:*:*
 3.0.0 4.18.0

Ссылки 2

https://github.com/zitadel/zitadel/security/advisories/GHSA-4hgj-wm6c-q7p2
GitHub Security Advisory (GHSA-4hgj-wm6c-q7p2)
https://www.vulncheck.com/advisories/zitadel-3.0.0-before-4.18.0-unauthenticate…
VulnCheck Advisory: ZITADEL 3.0.0 before 4.18.0 Unauthenticated Username Change via Login V1
Share Post Share Share Share

Связанные уязвимости

CVE-2026-109374

Zitadel

5,1

CVE-2026-109373

Zitadel

9,2

CVE-2026-109372

Zitadel

9,3

CVE-2026-105215

Zitadel

9,3

CVE-2026-105214

Zitadel

2,3