CVE-2025-13475
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W środowiskach wielodostępnych mechanizm zarządzania zgodami aplikacji nieprawidłowo izoluje zakresy zgód między dzierżawcami. Zgoda udzielona przez użytkownika dla konkretnej aplikacji SaaS w jednym dzierżawcy może zostać błędnie zastosowana do aplikacji SaaS o tej samej nazwie w innych dzierżawcach, prowadząc do niezamierzonego współdzielenia zgód między dzierżawcami.
Ocena ryzyka
Luka może skutkować ujawnieniem danych użytkowników między dzierżawcami, umożliwiając aplikacjom SaaS w różnych dzierżawcach dostęp i modyfikację informacji bez wyraźnej autoryzacji użytkownika, co prowadzi do nieautoryzowanego dostępu do danych i naruszeń prywatności.
Rekomendacja
Należy natychmiast zaktualizować mechanizm zarządzania zgodami, aby zapewnić pełną izolację zakresów zgód między dzierżawcami, np. poprzez dodanie identyfikatora dzierżawcy do każdej zgody. W przypadku braku wsparcia dla wielodostępności luka nie ma wpływu.
Oryginalny opis (angielski, źródło NVD)
In multi-tenanted deployments, the application consent management mechanism fails to correctly isolate consent scopes between tenants. Consent granted by a user for a specific SaaS application within one tenant can be incorrectly applied to SaaS applications with the same name in other tenants, leading to unintended cross-tenant consent sharing. This vulnerability may result in the exposure of user data across tenants, enabling SaaS applications in different tenants to access and modify information without explicit user authorization. This can lead to unauthorized data access and privacy violations. This vulnerability has no impact if the deployment does not support multi-tenancy.