CVE-2025-12627
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do kont użytkowników i możliwość długotrwałego podszywania się pod nich, co może prowadzić do naruszenia poufności danych i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację WSO2 Identity Server do wersji, która naprawia tę podatność, oraz wdrożenie mechanizmów monitorowania i wygaszania tokenów odświeżania dla sesji personifikowanych.
Oryginalny opis (angielski, źródło NVD)
The user impersonation flow in WSO2 Identity Server fails to properly manage refresh tokens associated with impersonated sessions. This allows an attacker who has obtained an access token for an impersonated user to leverage the refresh token grant to obtain new access tokens, extending their ability to act as the legitimate user. An attacker who gains access to an impersonated user's access token can exploit this weakness to renew their authorization. This results in the continued ability to perform actions on behalf of the actual user, compromising log integrity and traceability by masking the true actor.