Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-54693

Autorisation incorrecte dans github.com/zitadel/zitadel (CVE-2026-54693)

Résumé

Vulnérabilité dans github.com/zitadel/zitadel (CVE-2026-54693). Risque d'opérations non autorisées ou de divulgation. Exploitable via UpdateHumanUser. Atténuation : mise à jour vers 1.80.0-v2.20.0.20260608144108-ed09b3df7f43 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

A vulnerability in Zitadel's self-management capability allowed users to mark their email and phone as verified without going through an actual verification process.

While GHSA-282g-fhmx-xf54 (CVE-2026-27946, "Users Can Self-Verify Email/Phone via UpdateHumanUser API") closed the path that let any authenticated user mark an arbitrary email or phone as verified on their own account by calling UpdateHumanUser with email.is_verified: true, additional paths were discovered.

Impact

Zitadel provides an API for managing users. The API also allows users to self-manage their own data including updating the email and phone.

Due to an improper permission check, the API allowed returning the verification code for the email and phone to the own user.
This allows users to claim ownership of an email or phone they do not control and potentially bypass email-based security policies.

Note that when changing another user's email or phone, regardless of the verification flag, the permissions were correctly checked.

Affected Versions

Systems running one of the following versions are affected:

  • 4.x: 4.0.0 through 4.15.0 (including RC versions)
  • 3.x: 3.0.0 through 3.4.10 (including RC versions)
  • 2.x: 2.43.0 through 2.71.19

Patches

The vulnerability has been addressed in the latest releases. The patch resolves the issue by requiring the correct permission…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-54693 a été découverte dans github.com/zitadel/zitadel.
Des attaquants peuvent cibler un point d'entrée spécifique comme UpdateHumanUser à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour github.com/zitadel/zitadel vers 1.80.0-v2.20.0.20260608144108-ed09b3df7f43 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/zitadel/zitadel CVE-2026-54693 » sur le site de l'éditeur.

CVE-2026-54693 (github.com/zitadel/zitadel) — CWE-863
Surface d'attaque : UpdateHumanUser
Correctif : 1.80.0-v2.20.0.20260608144108-ed09b3df7f43 — appliquer immédiatement
Contournement : The recommended solution is to upgrade to a patched version.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une autorisation incorrecte (CWE-863) affecte github.com/zitadel/zitadel. Les attaquants atteignent le code vulnérable via UpdateHumanUser.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de github.com/zitadel/zitadel. Surface d'attaque : UpdateHumanUser.

🔥 Gravité

Gravité : ?. Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 1.80.0-v2.20.0.20260608144108-ed09b3df7f43.

🛡️ Contournement

Contournement : The recommended solution is to upgrade to a patched version.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'github.com/zitadel/zitadel' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で github.com/zitadel/zitadel を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply temporary workaround mitigate 
    The recommended solution is to upgrade to a patched version.

    パッチが適用されるまでの応急処置として、The recommended solution is to upgrade to a patched version. を実施。回避策の副作用 (機能低下) を確認した上で。

  3. 3
    Apply patch patch 
    Upgrade github.com/zitadel/zitadel to 1.80.0-v2.20.0.20260608144108-ed09b3df7f43

    ステージング環境で 1.80.0-v2.20.0.20260608144108-ed09b3df7f43 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  4. 4
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

go github.com/zitadel/zitadel
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"1.80.0-v2.20.0.20260608144108-ed09b3df7f43"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus