CVE-2026-105207

ZITADEL before 4.17.3 Account Takeover via External IdP Linking

P1 CVSS最高 9.8

優先度の判定理由: CVSSスコアが深刻出典: CVE公式（CVE List）・NVD

公式ソースで確認された事実（機械抽出）

公式説明（原文・英語）	ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.17.3 creates links between user accounts and external identity providers without verifying a primary factor or the caller's permission, including on identify-only Login V2 sessions and via the User Service V2 AddIDPLink endpoint. An unauthenticated attacker knowing a victim's login name can bind their own external IdP identity to the victim's account and then sign in as the victim.
悪用状況	不明
KEV（米CISA既知悪用脆弱性カタログ）	未登録（確認 —）。KEV未掲載は「悪用されていない」ことを意味しません。
CVSS評価	disclosure-at-vulncheck.com CVSS 3.1: 9.8 disclosure-at-vulncheck.com CVSS 4.0: 9.3 disclosure-at-vulncheck.com: `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` disclosure-at-vulncheck.com: `CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:`
EPSS（今後30日以内の悪用確率・FIRST）	—
修正バージョン	公表なし
公表日	2026年10月4日 22:10
最終更新	2026年10月30日 06:17
最終確認	2026年10月30日 14:40

製品	影響バージョン	修正バージョン	ベンダー修正済み	利用者対応要否
zitadel zitadel	4.0.0	—	未告知	未告知
zitadel zitadel	3.0.0	—	未告知	未告知

「ベンダー修正済み」と「利用者対応要否」は別の事実として管理しています（ベンダー修正済みでも利用者側の更新が必要です）。

ソース	URL	取得時刻	本文ハッシュ（先頭12桁）
CVE公式（CVE List） cvelist	一次情報を開く	2026年10月30日 14:36	`b2fb53208513`
NVD nvd	一次情報を開く	2026年10月30日 14:40	`66b1499b547d`
NVD nvd	一次情報を開く	2026年10月30日 14:40	`e3546e07d315`
NVD nvd	一次情報を開く	2026年10月30日 14:40	`f1da44c6d287`

数値・バージョン・日付は原文から機械抽出したものです。取得時刻はJST表記。日本語文面は自動生成であり、公式発表を置き換えるものではありません。

AIによる補助要約（誤りの可能性があります）。 自動生成された参考説明です。事実の数値・バージョンは上記「公式ソースで確認された事実」の機械抽出値が正です。出典は上記「03 出典・根拠」の公式リンクを参照してください。

概要: ZITADELは、外部IDPとのアカウント連携において、プライマリ要素や呼び出し元の権限を確認せずにリンクを作成します。被害者のログイン名を知る認証されていない攻撃者は、自身の外部IDPアイデンティティを被害者のアカウントに紐付け、被害者としてログインすることが可能です。
影響: 外部IDPの連携機能を通じてアカウントが乗っ取られるおそれがあります。
対応: 公式な修正版情報はまだない
留意点: 公式情報なし

生成: 2026年10月30日 14:42 / モデル: gemini-3.5-flash-lite / 検証: 公式事実との数値・CVE ID・バージョン照合済み