CVE-2025-12624
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W WSO2 Identity Server aktywne tokeny dostępu nie są unieważniane ani odwoływane po zablokowaniu konta użytkownika. Pozwala to na dalsze korzystanie z wcześniej wydanych, ważnych tokenów, co umożliwia zablokowanym kontom dostęp do chronionych zasobów.
Ocena ryzyka
Zablokowane konto użytkownika może nadal uzyskiwać dostęp do chronionych zasobów, co stanowi obejście polityk kontroli dostępu i może prowadzić do nieautoryzowanego dostępu do danych lub działań do czasu naturalnego wygaśnięcia tokenów.
Rekomendacja
Zaleca się wdrożenie mechanizmu unieważniania tokenów po zablokowaniu konta oraz regularne przeglądanie i skracanie czasu życia tokenów. Należy również rozważyć zastosowanie mechanizmów monitorowania aktywności zablokowanych kont.
Inne podatności w WSO2 Identity Server
Zobacz wszystkie- CVE-2016-4312Wysokie
Podatność XXE w funkcji przepływu XACML w WSO2 Identity Server 5.1.0 przed WSO2-CARBON-PATCH-4.4.0-0231 pozwala zdalnym uwierzytelnionym użytkownikom z dostępem do funkcji XACML na odczyt dowolnych plików, wywołanie odmowy usługi, przeprowadzenie ataków SSRF lub inne nieokreślone skutki poprzez spreparowane żądanie XACML.
- CVE-2016-4311Wysokie
W podatności CVE-2016-4311 występuje luka CSRF w funkcji przepływu XACML w WSO2 Identity Server 5.1.0, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia uprzywilejowanych użytkowników dla żądań przetwarzających żądania XACML.
- CVE-2025-14779Niskie
Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.
- CVE-2025-13736Niskie
Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.
- CVE-2025-12627Niskie
Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.
- CVE-2024-8995Średnie
Nieużywane kody autoryzacyjne wydane usuniętym użytkownikom nie są prawidłowo unieważniane ani usuwane z systemu, co pozwala na ich potencjalne ponowne użycie. Jeśli atakujący posiada zarówno kod autoryzacyjny, jak i powiązane dane klienta (ID i sekret), może uzyskać tokeny dostępu w imieniu usuniętych użytkowników, co prowadzi do nieautoryzowanego dostępu do zasobów.
- CVE-2024-6832Średnie
Mechanizm blokady konta nie uruchamia się, gdy dodatkowe magazyny użytkowników są niedostępne. Oprogramowanie nie utrzymuje spójnego stanu blokady, jeśli nie może osiągnąć wszystkich skonfigurowanych magazynów, co pozwala atakującemu na wielokrotne próby uwierzytelnienia z nieprawidłowymi danymi bez wyzwalania blokady.
- CVE-2024-10302Średnie
Proces samodzielnej rejestracji użytkownika w wielu produktach WSO2 nie waliduje odpowiednio danych wejściowych, co pozwala na umieszczenie niezweryfikowanych danych w atrybutach użytkownika (claims). Te dane są następnie używane przez procesy downstream, co może prowadzić do różnych ataków.
Oryginalny opis (angielski, źródło NVD)
Active access tokens are not revoked or invalidated when a user account is locked within WSO2 Identity Server. This failure to enforce revocation allows previously issued, valid tokens to remain usable, enabling continued access to protected resources by locked user accounts. The security consequence is that a locked user account can maintain access to protected resources through the use of existing, unexpired access tokens. This creates a security gap where access control policies are bypassed, potentially leading to unauthorized data access or actions until the tokens naturally expire.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS