ZITADEL: Auto-linking by email: IdP-side email verification is not checked — GHSA-992Q-9GWP-7R79

GitHub · GitHub · GHSA-992Q-9GWP-7R79

ID
GHSA-992Q-9GWP-7R79

Datum
2026-09-11

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
4.8

EPSS
0.00285

Zusammenfassung

### Summary A flaw in the external identity provider handler allows unauthorized account linking to occur under specific administrative configurations. When auto-linking by email is enabled, ZITADEL checks that the local user's email is verified, but does not explicitly cross-check whether the incoming external identity provider (IdP) also verified that email address upstream. ### Impact When a user logs in via an…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-11

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 4.8 von 10.
Gemeldeter EPSS-Wert: 0.00285.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: github.com/zitadel/zitadel.

Produkt

go: github.com/zitadel/zitadel

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-992Q-9GWP-7R79
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-11
Letzte Quellenaktivität: 2026-09-11
Weitere Kennungen: CVE-2026-56666
Kuratiert von: hlukh.ch