Vulnerabilidad en Zitadel (CVE-2024-41953)

Zitadel es un sistema de gestión de identidades de código abierto. ZITADEL utiliza HTML para los correos electrónicos y muestra cierta información, como los nombres de usuario, de forma dinámica. Esa información puede ser ingresada por usuarios o administradores. Debido a la falta de sanitización de la salida, estos correos electrónicos podrían incluir código malicioso. Esto puede generar potencialmente una amenaza en la que un atacante, sin privilegios, podría enviar notificaciones alteradas que forman parte de los procesos de registro. Un atacante podría crear un enlace malicioso, donde el código inyectado se presentaría como parte del correo electrónico. En la página de detalles del usuario, el nombre de usuario tampoco estaba sanitizado y también representaba HTML, lo que le daba al atacante la misma vulnerabilidad. Si bien era posible inyectar HTML, incluido JavaScript, la mayoría de los clientes de correo electrónico y la Política de seguridad de contenido en la interfaz de usuario de la consola impedirían la ejecución de dichos scripts. Esta vulnerabilidad se solucionó en 2.58.1, 2.57.1, 2.56.2, 2.55.5, 2.54.8 2.53.9 y 2.52.3.