CVE-2025-15039
KrytyczneCVSS 9.4Streszczenie
Skrypt Conditional Authentication (Adaptive Authentication) nie wymusza poprawnie ukończenia wszystkich wymaganych kroków uwierzytelniania w określonym wzorcu wieloetapowym. Atakujący może ominąć pośrednie wyzwania uwierzytelniające, wykorzystując sposób obsługi callbacków i ponownego wykonywania kroków.
Ocena ryzyka
Skuteczne wykorzystanie pozwala na nieautoryzowany dostęp do konta użytkownika. Podatność wymaga spełnienia określonych warunków, w tym obecności konkretnego uwierzytelniacza i skonfigurowanego skryptu.
Rekomendacja
Należy poprawić logikę skryptu Conditional Authentication, aby wymuszać ukończenie wszystkich kroków uwierzytelniania. Zaleca się przegląd konfiguracji uwierzytelniania i testy bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
The Conditional Authentication (Adaptive Authentication) script does not correctly enforce the completion of all required authentication steps when a specific multi-step pattern involving certain authenticators is configured. This allows an attacker to bypass intermediate authentication challenges by exploiting how the script handles callbacks and re-execution of authentication steps. Successful exploitation allows a malicious actor to gain unauthorized access to a targeted user account. This vulnerability can only be exploited when all of the following conditions are met: the application login flow contains a specific secondary authenticator, the Conditional Authentication script is configured with particular event callbacks and re-executes an authentication step, the targeted user has one of the impacted authenticators enrolled, and the attacker successfully completes any preceding authentication steps.