Към съдържанието
Търсене

CVE-2025-15039: WSO2 Identity Server, логическа грешка

9.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

The Conditional Authentication (Adaptive Authentication) script does not correctly enforce the completion of all required authentication steps when a specific multi-step pattern involving certain authenticators is configured. This allows an attacker to bypass intermediate authentication challenges by exploiting how the script handles callbacks and re-execution of authentication steps. Successful exploitation allows a malicious actor to gain unauthorized access to a targeted user account. This vulnerability can only be exploited when all of the following conditions are met: the application login flow contains a specific secondary authenticator, the Conditional Authentication script is configured with particular event callbacks and re-executes an authentication step, the targeted user has one of the impacted authenticators enrolled, and the attacker successfully completes any preceding authentication steps.

Засегнати продукти

  • WSO2 WSO2 Identity Server: преди 5.7.0; 5.7.0 преди 5.7.0.130; 5.8.0 преди 5.8.0.113; 5.9.0 преди 5.9.0.173; 5.10.0 преди 5.10.0.385; 5.11.0 преди 5.11.0.432; 6.0.0 преди 6.0.0.259; 6.1.0 преди 6.1.0.260; 7.0.0 преди 7.0.0.138; 7.1.0 преди 7.1.0.45; 7.1.0 преди 7.1.0.49; 7.2.0 преди 7.2.0.7
  • WSO2 WSO2 API Manager: преди 2.6.0; 2.6.0 преди 2.6.0.150; 3.0.0 преди 3.0.0.180; 3.1.0 преди 3.1.0.356; 3.2.0 преди 3.2.0.460; 3.2.1 преди 3.2.1.79; 4.0.0 преди 4.0.0.381; 4.1.0 преди 4.1.0.244; 4.2.0 преди 4.2.0.184; 4.3.0 преди 4.3.0.95; 4.4.0 преди 4.4.0.59; 4.5.0 преди 4.5.0.44; 4.6.0 преди 4.6.0.8
  • WSO2 WSO2 Open Banking AM: преди 1.4.0; 1.4.0 преди 1.4.0.143; 1.5.0 преди 1.5.0.144; 2.0.0 преди 2.0.0.405
  • WSO2 WSO2 Open Banking IAM: преди 2.0.0; 2.0.0 преди 2.0.0.425
  • WSO2 WSO2 Traffic Manager: преди 4.5.0; 4.5.0 преди 4.5.0.43; 4.6.0 преди 4.6.0.8
  • WSO2 WSO2 Universal Gateway: 4.5.0 преди 4.5.0.43; 4.5.0 преди 4.5.0.44; 4.6.0 преди 4.6.0.8
  • WSO2 WSO2 API Control Plane: 4.5.0 преди 4.5.0.45; 4.6.0 преди 4.6.0.9
  • WSO2 WSO2 Identity Server as Key Manager: преди 5.7.0; 5.7.0 преди 5.7.0.129; 5.9.0 преди 5.9.0.179; 5.10.0 преди 5.10.0.376
  • WSO2 WSO2 Open Banking KM: преди 1.4.0; 1.4.0 преди 1.4.0.137; 1.5.0 преди 1.5.0.127
  • WSO2 WSO2 Carbon Identity Application Authentication Framework: 5.12.153 преди 5.12.153.66; 5.12.387 преди 5.12.387.48; 5.14.97 преди 5.14.97.94; 5.17.5 преди 5.17.5.337; 5.17.118 преди 5.17.118.24; 5.18.187 преди 5.18.187.334; 5.18.248 преди 5.18.248.34; 5.23.8 преди 5.23.8.221; 5.24.8 преди 5.24.8.29; 5.25.92 преди 5.25.92.177; 5.25.705 преди 5.25.705.23; 5.25.713 преди 5.25.713.12; 5.25.724 преди 5.25.724.8; 5.25.736 преди 5.25.736.3; 7.0.78 преди 7.0.78.171; 7.8.23 преди 7.8.23.95; 7.8.586 преди 7.8.586.21; 5.25.738 до 5.25.*; от 7.8.646 нататък

Вид слабост

История

  • 6 август 2026 Публикувано

Други уязвимости в WSO2 WSO2 Identity Server

Първоизточници

CVE-2025-15039: WSO2 Identity Server, логическа грешка | freedomonline.bg