CVE-2025-31123

zitadel

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2025-31123

Katalog CVE

CVSS 8.7 · High EPSS 0,40%

Kerentanan Use of a Key Past its Expiration Date pada zitadel. Skor CVSS 3.1 8.7 (High) menurut github.com.

Deskripsi (NVD)

Zitadel is open-source identity infrastructure software. A vulnerability existed where expired keys can be used to retrieve tokens. Specifically, ZITADEL fails to properly check the expiration date of the JWT key when used for Authorization Grants. This allows an attacker with an expired key to obtain valid access tokens. This vulnerability does not affect the use of JWT Profile for OAuth 2.0 Client Authentication on the Token and Introspection endpoints, which correctly reject expired keys. This vulnerability is fixed in 2.71.6, 2.70.8, 2.69.9, 2.68.9, 2.67.13, 2.66.16, 2.65.7, 2.64.6, and 2.63.9.

Rincian

Terbit di NVD
31 Maret 2025
Terakhir diubah
17 Juni 2026
Status NVD
Analyzed
CVSS 3.1
8.7 (High), sumber github.com
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-324: Use of a Key Past its Expiration Date
EPSS (30 hari)
0,40% peluang dieksploitasi; lebih tinggi dari 31,9% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
zitadel zitadel Versi 2.62.0 hingga sebelum 2.63.9
zitadel zitadel Versi 2.64.0 hingga sebelum 2.64.6
zitadel zitadel Versi 2.65.0 hingga sebelum 2.65.7
zitadel zitadel Versi 2.66.0 hingga sebelum 2.66.16
zitadel zitadel Versi 2.67.0 hingga sebelum 2.67.13
zitadel zitadel Versi 2.68.0 hingga sebelum 2.68.9
zitadel zitadel Versi 2.69.0 hingga sebelum 2.69.9
zitadel zitadel Versi 2.70.0 hingga sebelum 2.70.8
zitadel zitadel Versi 2.71.0 hingga sebelum 2.71.6

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.