CVE-2025-13736
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia skuteczniejszych ataków phishingowych i socjotechnicznych na konta użytkowników, co może prowadzić do kompromitacji kont i wycieku wrażliwych danych.
Rekomendacja
Zaleca się skonfigurowanie interfejsu logowania tak, aby zawsze zwracał tę samą odpowiedź dla istniejących i nieistniejących użytkowników, oraz włączenie mechanizmów ograniczających próby logowania (np. blokady po nieudanych próbach).
Inne podatności w WSO2 Identity Server
Zobacz wszystkie- CVE-2016-4312Wysokie
Podatność XXE w funkcji przepływu XACML w WSO2 Identity Server 5.1.0 przed WSO2-CARBON-PATCH-4.4.0-0231 pozwala zdalnym uwierzytelnionym użytkownikom z dostępem do funkcji XACML na odczyt dowolnych plików, wywołanie odmowy usługi, przeprowadzenie ataków SSRF lub inne nieokreślone skutki poprzez spreparowane żądanie XACML.
- CVE-2016-4311Wysokie
W podatności CVE-2016-4311 występuje luka CSRF w funkcji przepływu XACML w WSO2 Identity Server 5.1.0, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia uprzywilejowanych użytkowników dla żądań przetwarzających żądania XACML.
- CVE-2025-14779Niskie
Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.
- CVE-2025-12627Niskie
Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.
- CVE-2024-8995Średnie
Nieużywane kody autoryzacyjne wydane usuniętym użytkownikom nie są prawidłowo unieważniane ani usuwane z systemu, co pozwala na ich potencjalne ponowne użycie. Jeśli atakujący posiada zarówno kod autoryzacyjny, jak i powiązane dane klienta (ID i sekret), może uzyskać tokeny dostępu w imieniu usuniętych użytkowników, co prowadzi do nieautoryzowanego dostępu do zasobów.
- CVE-2024-6832Średnie
Mechanizm blokady konta nie uruchamia się, gdy dodatkowe magazyny użytkowników są niedostępne. Oprogramowanie nie utrzymuje spójnego stanu blokady, jeśli nie może osiągnąć wszystkich skonfigurowanych magazynów, co pozwala atakującemu na wielokrotne próby uwierzytelnienia z nieprawidłowymi danymi bez wyzwalania blokady.
- CVE-2024-10302Średnie
Proces samodzielnej rejestracji użytkownika w wielu produktach WSO2 nie waliduje odpowiednio danych wejściowych, co pozwala na umieszczenie niezweryfikowanych danych w atrybutach użytkownika (claims). Te dane są następnie używane przez procesy downstream, co może prowadzić do różnych ataków.
- CVE-2025-12624Średnie
W WSO2 Identity Server aktywne tokeny dostępu nie są unieważniane ani odwoływane po zablokowaniu konta użytkownika. Pozwala to na dalsze korzystanie z wcześniej wydanych, ważnych tokenów, co umożliwia zablokowanym kontom dostęp do chronionych zasobów.
Oryginalny opis (angielski, źródło NVD)
When Multi-Attribute Login is enabled, the login interface fails to consistently mask the existence of user accounts. For valid users, the server resolves and displays their canonical username, while for non-existent users, it echoes the original input. This occurs regardless of the validate_username configuration. The discovery of valid usernames can increase the risk of brute force attacks, social engineering attacks, and targeted information leakage. Attackers can leverage this information to craft more effective phishing campaigns or social engineering tactics to compromise user accounts or extract sensitive data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS