ZITADEL tiene una toma de control de cuenta con un solo clic a través de XSS en el Endpoint /saml-post en github.com/zitadel/zitadel

El impacto de esta vulnerabilidad es severo, ya que permite la toma de control de cuentas de usuario de manera sencilla. Un atacante podría inyectar código malicioso en el endpoint /saml-post, que se ejecutaría en el navegador de un usuario legítimo al acceder a dicho endpoint. Esto permitiría al atacante robar credenciales, modificar la configuración de la cuenta, o realizar cualquier acción que el usuario pueda realizar. Dada la naturaleza de Zitadel como plataforma de gestión de identidades, el compromiso de una cuenta podría tener consecuencias significativas para la organización, incluyendo el acceso a datos sensibles y la escalada de privilegios.

Organizations utilizing Zitadel as their identity provider, particularly those relying on SAML-based authentication, are at risk. This includes businesses of all sizes, especially those with sensitive data or critical infrastructure managed through Zitadel. Shared hosting environments where multiple users share a single Zitadel instance are also particularly vulnerable.

• linux / server:

journalctl -u zitadel -f | grep -i 'saml-post' # Monitor for suspicious activity related to the SAML endpoint

• generic web:

curl -I https://your-zitadel-instance/saml-post # Check response headers for unusual content or XSS indicators

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-03-04
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-29191 es actualizar Zitadel a la versión 4.12.0 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización a la versión 4.12.0 causa problemas de compatibilidad, se recomienda evaluar la posibilidad de realizar una actualización gradual a versiones intermedias hasta llegar a la versión más reciente. Aunque no existe una solución WAF específica, se puede implementar una regla para bloquear solicitudes sospechosas al endpoint /saml-post que contengan patrones de inyección de código. Después de la actualización, confirme la mitigación verificando que el endpoint /saml-post no sea vulnerable a la inyección de scripts.