ZITADEL possui uma tomada de conta de 1 clique via XSS no Endpoint /saml-post em github.com/zitadel/zitadel

Um atacante pode explorar essa vulnerabilidade para injetar scripts maliciosos no endpoint /saml-post do Zitadel. Ao fazer isso, o atacante pode enganar um usuário legítimo para que clique em um link malicioso ou execute um script, resultando na tomada de conta. A gravidade da vulnerabilidade reside na facilidade de exploração – um único clique pode comprometer a conta de um usuário. O impacto potencial inclui roubo de dados confidenciais, acesso não autorizado a recursos e a possibilidade de o atacante usar a conta comprometida para realizar ataques adicionais dentro da infraestrutura. Embora não haja relatos públicos de exploração ativa, a facilidade de exploração e o impacto potencial tornam esta vulnerabilidade uma prioridade alta para correção.

Organizations utilizing Zitadel as their identity provider, particularly those relying on SAML-based authentication, are at risk. This includes businesses of all sizes, especially those with sensitive data or critical infrastructure managed through Zitadel. Shared hosting environments where multiple users share a single Zitadel instance are also particularly vulnerable.

• linux / server:

journalctl -u zitadel -f | grep -i 'saml-post' # Monitor for suspicious activity related to the SAML endpoint

• generic web:

curl -I https://your-zitadel-instance/saml-post # Check response headers for unusual content or XSS indicators

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-03-04
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2026-29191 é atualizar o Zitadel para a versão 4.12.0 ou superior, que inclui a correção para essa vulnerabilidade XSS. Se a atualização imediata não for possível, implemente validação de entrada rigorosa em todos os dados recebidos no endpoint /saml-post. Isso inclui a sanitização de todos os caracteres especiais e a aplicação de políticas de permissão estritas. Considere a utilização de um Web Application Firewall (WAF) com regras específicas para detectar e bloquear tentativas de injeção de XSS no endpoint. Monitore os logs do Zitadel em busca de padrões suspeitos de atividade, como solicitações incomuns para o endpoint /saml-post.