Към съдържанието
Търсене

CVE-2024-0391: WSO2 Identity Server, изтичане на данни

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

The check user account lock states feature within the email OTP flow fails to validate user input, allowing an attacker to infer the existence of registered user accounts. The discovery of valid usernames can increase the risk of brute-force and social engineering attacks. Attackers can leverage this information to craft targeted phishing campaigns or other malicious activities aimed at tricking users into divulging sensitive data, potentially damaging the organization's reputation and leading to regulatory non-compliance and financial consequences.

Засегнати продукти

  • WSO2 WSO2 Identity Server: преди 5.10.0; 5.10.0 преди 5.10.0.379; 5.11.0 преди 5.11.0.426; 5.11.0 преди 5.11.0.431; 6.0.0 преди 6.0.0.253; 6.1.0 преди 6.1.0.254; 7.0.0 преди 7.0.0.131
  • WSO2 WSO2 Open Banking IAM: преди 2.0.0; 2.0.0 преди 2.0.0.318
  • WSO2 WSO2 Identity Server as Key Manager: преди 5.10.0; 5.10.0 преди 5.10.0.267
  • WSO2 Email OTP Authenticator: 1.0.18 преди 1.0.18.7; от 1.0.24 нататък
  • WSO2 WSO2 Carbon Authenticator Library For EmailOTP: 4.1.0 преди 4.1.0.8; 4.1.4 преди 4.1.4.9; от 4.1.22 нататък
  • WSO2 WSO2 Carbon Authenticator Library For EmailOTP: 3.0.5 преди 3.0.5.8; 3.0.24 преди 3.0.24.6; 3.0.26 преди 3.0.26.16

Вид слабост

История

  • 11 май 2026 Публикувано

Други уязвимости в WSO2 WSO2 Identity Server

Първоизточници

CVE-2024-0391: WSO2 Identity Server, изтичане на данни | freedomonline.bg