CVE-2024-29892

zitadel

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2024-29892

Katalog CVE

CVSS 4.9 · Medium EPSS 0,77%

Kerentanan Incorrect Authorization pada zitadel. Skor CVSS 3.1 4.9 (Medium) menurut NVD.

Deskripsi (NVD)

ZITADEL, open source authentication management software, uses Go templates to render the login UI. Under certain circumstances an action could set reserved claims managed by ZITADEL. For example it would be possible to set the claim `urn:zitadel:iam:user:resourceowner:name`. To compensate for this we introduced a protection that does prevent actions from changing claims that start with `urn:zitadel:iam`. This vulnerability is fixed in 2.48.3, 2.47.8, 2.46.5, 2.45.5, 2.44.7, 2.43.11, and 2.42.17.

Rincian

Terbit di NVD
27 Maret 2024
Terakhir diubah
17 Juni 2026
Status NVD
Analyzed
CVSS 3.1
4.9 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-863: Incorrect Authorization
EPSS (30 hari)
0,77% peluang dieksploitasi; lebih tinggi dari 54,3% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
zitadel zitadel Semua versi sebelum 2.42.17
zitadel zitadel Versi 2.43.0 hingga sebelum 2.43.11
zitadel zitadel Versi 2.44.0 hingga sebelum 2.44.7
zitadel zitadel Versi 2.45.0 hingga sebelum 2.45.5
zitadel zitadel Versi 2.46.0 hingga sebelum 2.46.5
zitadel zitadel Versi 2.47.0 hingga sebelum 2.47.8
zitadel zitadel Versi 2.48.0 hingga sebelum 2.48.3

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.