Zitadel · Zitadel · CVE-2026-27945
**Nome do Software Vulnerável e Versões Afetadas**
Versões do ZITADEL de 2.59.0 a 4.10.0
**Descrição**
O ZITADEL é uma plataforma de gerenciamento de identidade de código aberto. O recurso Zitadel Action V2, apresentado como visualização antecipada na versão 2.59.0, em versão beta na 3.0.0 e disponível para uso geral na 4.0.0, permite que os desenvolvedores personalizem fluxos usando webhooks. Os URLs de destino das Ações podem apontar para hosts locais, o que pode permitir que adversários coletem informações da rede interna e se conectem a serviços internos. Trata-se de um problema de falsificação de solicitação do lado do servidor (SSRF). As Ações do Zitadel esperam respostas de acordo com esquemas específicos, o que reduz o vetor de ameaça. O problema foi resolvido na versão 4.11.1 ao verificar o URL de destino contra uma lista de negação, bloqueando por padrão os endereços localhost e IPs de loopback. Um backport para as versões 2.x e 3.x não foi viável devido ao estágio da funcionalidade e às mudanças aplicadas desde então.
**Recomendações**
Atualize para a versão 4.11.1 ou superior.
Se uma atualização não for possível, impeça que as ações utilizem endpoints não pretendidos configurando políticas de rede ou regras de firewall em sua infraestrutura.