CVE-2025-9973
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w WSO2 Identity Server wynika z braku walidacji kontekstu organizacji podczas wykonywania adaptacyjnych przepływów uwierzytelniania. Złośliwy aktor z uprawnieniami do konfiguracji adaptacyjnego uwierzytelniania w jednej organizacji może wykorzystać tę funkcję do wykonania logiki uwierzytelniania w innych organizacjach i podorganizacjach, omijając granice autoryzacji.
Ocena ryzyka
Może to prowadzić do eskalacji uprawnień, nieautoryzowanego dostępu do zasobów i potencjalnego przejęcia kont użytkowników w innych organizacjach.
Rekomendacja
Zaktualizuj WSO2 Identity Server do wersji zawierającej poprawkę tej podatności i ogranicz uprawnienia do konfiguracji adaptacyjnego uwierzytelniania.
Inne podatności w WSO2 Identity Server
Zobacz wszystkie- CVE-2016-4312Wysokie
Podatność XXE w funkcji przepływu XACML w WSO2 Identity Server 5.1.0 przed WSO2-CARBON-PATCH-4.4.0-0231 pozwala zdalnym uwierzytelnionym użytkownikom z dostępem do funkcji XACML na odczyt dowolnych plików, wywołanie odmowy usługi, przeprowadzenie ataków SSRF lub inne nieokreślone skutki poprzez spreparowane żądanie XACML.
- CVE-2016-4311Wysokie
W podatności CVE-2016-4311 występuje luka CSRF w funkcji przepływu XACML w WSO2 Identity Server 5.1.0, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia uprzywilejowanych użytkowników dla żądań przetwarzających żądania XACML.
- CVE-2026-6647Wysokie
W WSO2 Identity Server z magazynem użytkowników nieczułym na wielkość liter i bazą danych czułą na wielkość liter mogą wystąpić niezgodności w obsłudze wielkości liter nazw użytkowników. Powoduje to, że operacje unieważniania tokenów OAuth nie identyfikują poprawnie nazw z mieszaną wielkością liter, przez co tokeny nie są unieważniane.
- CVE-2025-13591Średnie
Punkt końcowy uwierzytelniania WSO2 Identity Server nie zapewnia spójnej odpowiedzi systemu, gdy nazwa użytkownika nie istnieje, co pozwala atakującemu rozróżnić ważne i nieprawidłowe nazwy użytkowników. Różnica w odpowiedziach może być wykorzystana do wyliczenia istniejących kont użytkowników.
- CVE-2024-8122Średnie
WSO2 Identity Server nie egzekwuje domyślnego czasu wygaśnięcia dla SMS-owych haseł jednorazowych (OTP) używanych w MFA. Nieużywane OTP pozostają ważne bezterminowo, co umożliwia atakującym przeprowadzanie ataków brute force przez wielokrotne zgadywanie kodu. Udany atak może prowadzić do obejścia MFA i przejęcia konta użytkownika.
- CVE-2025-14779Niskie
Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.
- CVE-2025-13736Niskie
Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.
- CVE-2025-12627Niskie
Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.
- CVE-2024-8995Średnie
Nieużywane kody autoryzacyjne wydane usuniętym użytkownikom nie są prawidłowo unieważniane ani usuwane z systemu, co pozwala na ich potencjalne ponowne użycie. Jeśli atakujący posiada zarówno kod autoryzacyjny, jak i powiązane dane klienta (ID i sekret), może uzyskać tokeny dostępu w imieniu usuniętych użytkowników, co prowadzi do nieautoryzowanego dostępu do zasobów.
- CVE-2024-6832Średnie
Mechanizm blokady konta nie uruchamia się, gdy dodatkowe magazyny użytkowników są niedostępne. Oprogramowanie nie utrzymuje spójnego stanu blokady, jeśli nie może osiągnąć wszystkich skonfigurowanych magazynów, co pozwala atakującemu na wielokrotne próby uwierzytelnienia z nieprawidłowymi danymi bez wyzwalania blokady.
Oryginalny opis (angielski, źródło NVD)
Due to not validating the organization context when executing adaptive authentication flows, the WSO2 Identity Server allows adaptive authentication logic to be triggered on unintended organizations. A malicious actor with privileges to configure adaptive authentication within one organization can leverage this functionality to execute authentication logic on other organizations and sub-organizations. This flaw allows bypassing authorization boundaries between organizations, leading to unauthorized access to critical operations and user accounts in other organizations. When adaptive authentication is enabled in a multi-organization deployment, a malicious actor with privileges to configure adaptive authentication in one organization could exploit this feature to perform critical operations in other organizations without authorization. This may result in privilege escalation, unauthorized access to resources, and potential account takeover across organizations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS