CVE-2025-14779
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.
Ocena ryzyka
Ryzyko obejmuje utratę danych (sekretów) w całej organizacji, co może prowadzić do poważnych awarii systemów i przerw w świadczeniu usług. Atak wymaga uprawnień do usuwania w API, które domyślnie mają tylko administratorzy.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień do usuwania typów sekretów tylko do niezbędnych administratorów oraz monitorowanie działań w API. Należy również rozważyć aktualizację systemu do wersji, która naprawia tę podatność.
Inne podatności w WSO2 Identity Server
Zobacz wszystkie- CVE-2016-4312Wysokie
Podatność XXE w funkcji przepływu XACML w WSO2 Identity Server 5.1.0 przed WSO2-CARBON-PATCH-4.4.0-0231 pozwala zdalnym uwierzytelnionym użytkownikom z dostępem do funkcji XACML na odczyt dowolnych plików, wywołanie odmowy usługi, przeprowadzenie ataków SSRF lub inne nieokreślone skutki poprzez spreparowane żądanie XACML.
- CVE-2016-4311Wysokie
W podatności CVE-2016-4311 występuje luka CSRF w funkcji przepływu XACML w WSO2 Identity Server 5.1.0, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia uprzywilejowanych użytkowników dla żądań przetwarzających żądania XACML.
- CVE-2025-13736Niskie
Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.
- CVE-2025-12627Niskie
Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.
- CVE-2024-8995Średnie
Nieużywane kody autoryzacyjne wydane usuniętym użytkownikom nie są prawidłowo unieważniane ani usuwane z systemu, co pozwala na ich potencjalne ponowne użycie. Jeśli atakujący posiada zarówno kod autoryzacyjny, jak i powiązane dane klienta (ID i sekret), może uzyskać tokeny dostępu w imieniu usuniętych użytkowników, co prowadzi do nieautoryzowanego dostępu do zasobów.
- CVE-2024-6832Średnie
Mechanizm blokady konta nie uruchamia się, gdy dodatkowe magazyny użytkowników są niedostępne. Oprogramowanie nie utrzymuje spójnego stanu blokady, jeśli nie może osiągnąć wszystkich skonfigurowanych magazynów, co pozwala atakującemu na wielokrotne próby uwierzytelnienia z nieprawidłowymi danymi bez wyzwalania blokady.
- CVE-2024-10302Średnie
Proces samodzielnej rejestracji użytkownika w wielu produktach WSO2 nie waliduje odpowiednio danych wejściowych, co pozwala na umieszczenie niezweryfikowanych danych w atrybutach użytkownika (claims). Te dane są następnie używane przez procesy downstream, co może prowadzić do różnych ataków.
- CVE-2025-12624Średnie
W WSO2 Identity Server aktywne tokeny dostępu nie są unieważniane ani odwoływane po zablokowaniu konta użytkownika. Pozwala to na dalsze korzystanie z wcześniej wydanych, ważnych tokenów, co umożliwia zablokowanym kontom dostęp do chronionych zasobów.
Oryginalny opis (angielski, źródło NVD)
The Secret Type Management REST API does not correctly isolate access controls when deleting a secret type. The on-delete cascade logic, when triggered, fails to enforce organizational boundaries, leading to the removal of secrets associated with that type across all organizations. Exploitation of this vulnerability can result in the unintended deletion of secrets across the entire deployment, potentially causing configuration failures, service interruptions, and a denial-of-service condition. This vulnerability requires delete permissions for the Secret Type Management REST API, which are by default only granted to administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS