CVE-2025-1396
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W wielu produktach WSO2 z włączonym Multi-Attribute Login występuje podatność umożliwiająca enumerację nazw użytkowników. System zwraca odrębny komunikat błędu "User does not exist" niezależnie od ustawienia validate_username, co pozwala atakującemu rozpoznać istniejące konta. Może to ułatwić ataki brute-force, phishing i inżynierię społeczną.
Ocena ryzyka
Enumeracja użytkowników ułatwia atakującym przeprowadzanie ukierunkowanych ataków na konta, co zwiększa ryzyko nieautoryzowanego dostępu. Może prowadzić do kompromitacji kont o słabych hasłach.
Rekomendacja
Zaktualizuj produkty WSO2 do wersji zawierających poprawkę lub skonfiguruj system tak, aby zwracał jednolity komunikat błędu niezależnie od istnienia użytkownika. Wdróż mechanizmy ograniczające liczbę prób logowania.
Inne podatności w WSO2
Zobacz wszystkie- CVE-2024-4457Krytyczne
Konsola zarządzania nieprawidłowo waliduje dane wejściowe związane z konfiguracją magazynów użytkowników JDBC. Słabość ta pozwala atakującemu dostarczyć specjalnie spreparowane dane wejściowe, które mogą prowadzić do wykonania dowolnego kodu na dotkniętym serwerze. Skuteczne wykorzystanie umożliwia atakującemu wykonanie dowolnego kodu z uprawnieniami produktu WSO2, co może doprowadzić do pełnego przejęcia systemu.
- CVE-2025-9312Krytyczne
Brak wymuszenia uwierzytelniania w implementacji wzajemnego TLS (mTLS) używanej przez System REST APIs i usługi SOAP w wielu produktach WSO2. Z powodu nieprawidłowej walidacji uwierzytelniania opartego na certyfikatach klienta w niektórych domyślnych konfiguracjach, zaatakowane komponenty mogą zezwalać na nieuwierzytelnione żądania nawet przy włączonym mTLS. Udane wykorzystanie pozwala atakującemu z dostępem sieciowym do zaatakowanych punktów końcowych uzyskać uprawnienia administracyjne i wykonywać nieautoryzowane operacje.
- CVE-2025-12317Średnie
W produktach WSO2, po usunięciu ról wewnętrznych użytkownika, system nie unieważnia wcześniej wydanych tokenów uwierzytelniających. Użytkownik może zachować dotychczasowe uprawnienia nawet po ich odebraniu.
- CVE-2024-6541Średnie
Class Mediator w produktach WSO2 nie waliduje ani nie sanityzuje właściwości messageContext używanych do dynamicznych wartości. Uwierzytelnieni użytkownicy mogą uzyskać dostęp do danych innych użytkowników lub modyfikować dane systemowe.
- CVE-2026-0637Średnie
Gdy adapter wyjściowy Event Publisher jest skonfigurowany z nieistotnymi właściwościami, produkty logują te właściwości bez odpowiedniej walidacji lub sanityzacji wartości. Osoba z dostępem do plików logów 'wso2carbon' może uzyskać wrażliwe informacje, takie jak dane uwierzytelniające, co może prowadzić do nieautoryzowanego dostępu.
- CVE-2025-13909Średnie
System akceptuje żądania uwierzytelniania bez wystarczającej walidacji, aby wymusić izolację dzierżawców (tenant isolation) przy użyciu Email OTP, SMS OTP lub Magic Link jako pierwszego czynnika. Może to prowadzić do ujawnienia danych osobowych użytkowników w różnych dzierżawcach.
- CVE-2025-11850Średnie
Gdy skonfigurowane są dodatkowe magazyny użytkowników, resolver niejawnych skojarzeń nieprawidłowo inicjalizuje z dodatkowego magazynu i pomija główny magazyn podczas wyszukiwania i sprawdzania unikalności. Może to prowadzić do skojarzenia podmiotu z niezamierzonym kontem lokalnym, jeśli ten sam atrybut (np. nazwa użytkownika) istnieje w obu magazynach.
- CVE-2026-4249Wysokie
Mechanizm obsługi zdarzeń throttlingu w wielu produktach WSO2 akceptuje dostarczane przez użytkownika ładunki JSON bez wystarczającej walidacji ich struktury i zawartości. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie złośliwych danych JSON, co może prowadzić do trwałej odmowy usługi.
- CVE-2025-5770Średnie
W wielu produktach WSO2 występuje luka typu reflected cross-site scripting (XSS) w punktach końcowych uwierzytelniania z powodu braku kodowania danych wyjściowych. Złośliwy aktor może wstrzyknąć dowolne ładunki JavaScript do punktu końcowego uwierzytelniania, które są odzwierciedlane w odpowiedzi, umożliwiając ataki oparte na przeglądarce. Wykorzystanie może skutkować przekierowaniem na złośliwe witryny, manipulacją interfejsem lub nieautoryzowanym dostępem do danych z przeglądarki ofiary; jednak pliki cookie sesji są chronione flagą httpOnly, co ogranicza przejęcie sesji tą drogą.
- CVE-2025-1862Średnie
W wielu produktach WSO2 występuje podatność polegająca na dowolnym przesyłaniu plików z powodu niewłaściwej walidacji nazw plików dostarczanych przez użytkownika w endpointcie usługi SOAP BPEL uploader. Złośliwy aktor z uprawnieniami administracyjnymi może przesłać dowolne pliki do lokalizacji kontrolowanej przez użytkownika na serwerze.
Oryginalny opis (angielski, źródło NVD)
A username enumeration vulnerability exists in multiple WSO2 products when Multi-Attribute Login is enabled. In this configuration, the system returns a distinct "User does not exist" error message to the login form, regardless of the validate_username setting. This behavior allows malicious actors to determine which usernames exist in the system based on observable discrepancies in the application's responses. Exploitation of this vulnerability could aid in brute-force attacks, targeted phishing campaigns, or other social engineering techniques by confirming the validity of user identifiers within the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS