CVE-2022-36051
Publiée le 2022-08-31 · Dernière modification le 2026-06-17
Les instances ZITADEL utilisant les « Actions » sont affectées par l'absence d'un contrôle d'autorisation. Un attaquant disposant des privilèges `ORG_OWNER` peut écrire du JavaScript personnalisé pour s'octroyer des permissions sur des projets appartenant à d'autres organisations sur la même instance. Il s'agit d'une attaque réseau facile à exécuter une fois que l'attaquant possède un accès administratif de haut niveau à sa propre organisation.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ZITADEL combines the ease of Auth0 and the versatility of Keycloak.**Actions**, introduced in ZITADEL **1.42.0** on the API and **1.56.0** for Console, is a feature, where users with role.`ORG_OWNER` are able to create Javascript Code, which is invoked by the system at certain points during the login. **Actions**, for example, allow creating authorizations (user grants) on newly created users programmatically. Due to a missing authorization check, **Actions** were able to grant authorizations for projects that belong to other organizations inside the same Instance. Granting authorizations via API and Console is not affected by this vulnerability. There is currently no known workaround, users should update.