Uma vulnerabilidade grave de account takeover foi divulgada no ZITADEL, a plataforma de identidade open-source. CVE-2026-105207 afeta as versões do ZITADEL de 3.0.0 até 3.4.15 e a 4.0.0 antes da 4.17.3. Se você estiver executando qualquer uma dessas branches sem o patch aplicado, um atacante que conhece apenas o nome de login do alvo pode assumir o controle total daquela conta.

Esta é a falha central: as sessões identify-only do Login V2 do ZITADEL e o endpoint AddIDPLink do User Service V2 permitem que links de provedores de identidade externos sejam criados sem a conclusão de um desafio de fator primário ou a verificação de que o chamador tem permissão para manipular aquela conta. Sem senha, sem MFA, sem token de sessão. Um atacante registra uma identidade descartável em um IdP externo compatível, chama o endpoint com o nome de login da vítima, vincula aquela identidade do IdP à conta da vítima e então autentica-se como ela usando essa credencial vinculada. Trata-se de um bypass completo de autenticação que usa o próprio mecanismo de federação como caminho de ataque.

O que torna isso particularmente grave é que o vínculo de IdP externo deveria ser um recurso de conveniência para usuários legítimos. O pressuposto incorporado ao seu design era que apenas uma sessão autenticada e autorizada poderia disparar um vínculo. Esse pressuposto estava errado, e as consequências são tão sérias quanto podem ser: account takeover sem nenhum conhecimento de credencial. Se o seu deployment do ZITADEL tem federação voltada ao usuário habilitada e está acessível a partir de redes não confiáveis, você deve tratar cada conta como potencialmente em risco até que o patch seja aplicado.

Para quem executa o ZITADEL em capacidade de CIAM ou como IdP interno, a pergunta imediata é direta: em qual versão você está? Faça upgrade para a versão 3.x (verifique as release notes do ZITADEL para a versão 3.x corrigida) ou para a 4.17.3 ou superior imediatamente. Se não for possível aplicar o patch agora, avalie se é possível restringir o acesso ao endpoint de API AddIDPLink na camada de rede ou de gateway como um controle temporário. Além disso, revise os logs de auditoria de vínculos de IdP em busca de contas que recentemente tiveram um IdP externo adicionado, especialmente se o evento de vínculo não corresponder a uma ação conhecida do usuário. Você está procurando eventos anômalos de criação de vínculo em contas que não estavam sendo gerenciadas ativamente naquele momento.

Uma ressalva honesta: a partir da divulgação, não tenho informações sobre se o log de auditoria do ZITADEL captura detalhes suficientes para identificar de forma definitiva tentativas de exploração. Se não capturar, você pode estar parcialmente às cegas na detecção retrospectiva. De qualquer forma, aplique o patch primeiro, audite depois e não assuma que está seguro apenas por não ter visto alertas.