CVSS 3.1
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Атакува се
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
When a WSO2 product is configured to use an external user store, the system fails to adequately obscure the existence or validity of usernames during authentication attempts. This oversight allows an attacker to repeatedly query the authentication mechanism with different username guesses, enabling the enumeration of valid usernames present in the external user store. The discovery of valid usernames can increase the risk of targeted brute-force attacks, social engineering, and information leakage. Attackers can leverage this information to craft more convincing phishing campaigns or other social engineering tactics to trick users into revealing sensitive data. The presence of username enumeration could also negatively impact an organization's reputation, leading to loss of customer trust, regulatory non-compliance, and potential legal and financial repercussions.
Засегнати продукти
- WSO2 WSO2 API Manager: преди 3.1.0; 3.1.0 преди 3.1.0.310; 3.2.0 преди 3.2.0.401; 3.2.1 преди 3.2.1.26; 4.0.0 преди 4.0.0.318; 4.1.0 преди 4.1.0.180; 4.2.0 преди 4.2.0.119; 4.3.0 преди 4.3.0.30
- WSO2 WSO2 Identity Server as Key Manager: преди 5.10.0; 5.10.0 преди 5.10.0.320
- WSO2 WSO2 Identity Server: преди 5.10.0; 5.10.0 преди 5.10.0.326; 6.0.0 преди 6.0.0.214; 6.1.0 преди 6.1.0.198; 7.0.0 преди 7.0.0.67
- WSO2 WSO2 Open Banking IAM: преди 2.0.0; 2.0.0 преди 2.0.0.371
- WSO2 WSO2 Open Banking AM: преди 2.0.0; 2.0.0 преди 2.0.0.351
- WSO2 WSO2 Carborn Identity Handler: 1.4.0 преди 1.4.0.15; 1.4.0 преди 1.4.0.16; 1.4.11 преди 1.4.11.14; 1.4.37 преди 1.4.37.1; 1.6.1 преди 1.6.1.5; 1.7.1 преди 1.7.1.1; 1.8.6 преди 1.8.6.5; 1.8.14 преди 1.8.14.1; 1.9.2 преди 1.9.2.4
Вид слабост
История
- 21 октомври 2026 Публикувано