CVE-2025-13166
Açıklama
SMS OTP akışı hata mesajlarını yeterince yönetememekte ve bu durum bir saldırganın, OTP başlatma işlemi sırasında alınan yanıtlara dayanarak kayıtlı kullanıcı hesaplarının varlığını anlamasına olanak tanımaktadır. Bu zayıflık, bir saldırgan tarafından sistemdeki geçerli kullanıcı adlarını tespit etmek için istismar edilebilir. Numaralandırma işlemi özellikle bu koşula bağlı olduğundan, mobil numara yapılandırmamış hesaplar için etki artmaktadır. Bu kullanıcı adlarının keşfi; sonraki kaba kuvvet saldırılarını, sosyal mühendislik girişimlerini ve bilgi sızıntısını kolaylaştırarak potansiyel olarak itibar kaybına, müşteri güveninin azalmasına ve mevzuata uyumsuzluğa yol açabilir.
Nasıl düzeltilir
- WSO2 WSO2 Identity Server7.1.0.40, 7.2.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| WSO2 WSO2 Identity Server | 7.1.0 ≤ v < 7.1.0.40, 7.2.0 ≤ v < 7.2.0.2 | 7.1.0.40, 7.2.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.