CVE-2025-13591
Açıklama
WSO2 Identity Server'ın kimlik doğrulama uç noktası, sistemde mevcut olmayan bir kullanıcı adı girildiğinde tutarlı bir sistem yanıtı sağlamada başarısız olur ve bu durum saldırganların geçerli ve geçersiz kullanıcı adlarını birbirinden ayırt etmesine olanak tanır. Yanıtlardaki bu fark, mevcut kullanıcı hesaplarının numaralandırılması (enumeration) için kullanılabilir. Başarılı bir istismar, saldırganın sistemdeki geçerli kullanıcı adlarını keşfetmesini sağlayarak; kullanıcı kimlik bilgilerine yönelik kaba kuvvet (brute force) saldırıları, sosyal mühendislik saldırıları ve bilgi sızıntısı gibi sonraki saldırıların riskini önemli ölçüde artırır. Keşfedilen kullanıcı adları, hedef odaklı oltalama e-postaları veya diğer sosyal mühendislik kampanyaları oluşturmak için kullanılabilir.
Nasıl düzeltilir
- WSO2 WSO2 Identity Server7.0.0.134, 7.1.0.42 ya da sonraki bir sürüm
- WSO2 WSO2 Carbon Abstract OTP Authenticator1.0.5.3, 1.0.10.2 ya da sonraki bir sürüm
- WSO2 Email OTP Authenticator1.0.18.8, 1.0.30.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| WSO2 WSO2 Identity Server | 7.0.0 ≤ v < 7.0.0.134, 7.1.0 ≤ v < 7.1.0.42 | 7.0.0.134, 7.1.0.42 |
| WSO2 WSO2 Carbon Abstract OTP Authenticator | 1.0.5 ≤ v < 1.0.5.3, 1.0.10 ≤ v < 1.0.10.2 | 1.0.5.3, 1.0.10.2 |
| WSO2 Email OTP Authenticator | 1.0.18 ≤ v < 1.0.18.8, 1.0.30 ≤ v < 1.0.30.5 | 1.0.18.8, 1.0.30.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.