Към съдържанието
Търсене

CVE-2025-10908: WSO2 Identity Server, заобикаляне на вход и права

7.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Due to a lack of user account state validation during authentication, locked user accounts can be successfully authenticated using Magic Link or Pass Key methods. This bypasses the intended security control that should prevent access to accounts that have been locked. This vulnerability may allow unauthorized access to applications and sensitive data associated with accounts that should have been restricted via the account lock mechanism. It also undermines the effectiveness of the account lock mechanism intended to prevent further login attempts.

Засегнати продукти

  • WSO2 WSO2 Identity Server: преди 6.0.0; 6.0.0 преди 6.0.0.249; 6.1.0 преди 6.1.0.248; 7.0.0 преди 7.0.0.124; 7.1.0 преди 7.1.0.31
  • WSO2 WSO2 Carbon MagicLink Authenticator Module: 1.1.0 преди 1.1.0.1; 1.1.5 преди 1.1.5.2; 1.1.22 преди 1.1.22.5; 1.1.31 преди 1.1.31.2; от 1.1.43 нататък

Вид слабост

История

  • 11 май 2026 Публикувано

Други уязвимости в WSO2 WSO2 Identity Server

Първоизточници

CVE-2025-10908: WSO2 Identity Server, заобикаляне на вход и права | freedomonline.bg