CVE-2025-13736
Açıklama
Multi-Attribute Login etkinleştirildiğinde, oturum açma arayüzü kullanıcı hesaplarının varlığını tutarlı bir şekilde maskeleyemez. Geçerli kullanıcılar için sunucu, kanonik kullanıcı adlarını çözümleyip görüntülerken, var olmayan kullanıcılar için orijinal girdiyi yansıtır. Bu durum, validate_username yapılandırmasından bağımsız olarak gerçekleşir. Geçerli kullanıcı adlarının keşfedilmesi, kaba kuvvet saldırıları, sosyal mühendislik saldırıları ve hedefli bilgi sızıntısı riskini artırabilir. Saldırganlar bu bilgiden yararlanarak kullanıcı hesaplarını ele geçirmek veya hassas verileri çıkarmak amacıyla daha etkili kimlik avı kampanyaları ya da sosyal mühendislik taktikleri oluşturabilir.
Nasıl düzeltilir
- wso2 api_manager3.1.0.351, 3.2.0.455, 4.0.0.375 ya da sonraki bir sürüm
- wso2 identity_server5.10.0.380, 5.11.0.427, 6.0.0.254, 6.1.0.255, 7.0.0.132, 7.1.0.40, 7.2.0.2 ya da sonraki bir sürüm
- wso2 identity_server_as_key_manager5.10.0.371 ya da sonraki bir sürüm
- wso2 open_banking_am2.0.0.400 ya da sonraki bir sürüm
- wso2 open_banking_iam2.0.0.420 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 api_manager | 3.1.0 ≤ v < 3.1.0.351, 3.2.0 ≤ v < 3.2.0.455, 4.0.0 ≤ v < 4.0.0.375 | 3.1.0.351, 3.2.0.455, 4.0.0.375 |
| wso2 identity_server | 5.10.0 ≤ v < 5.10.0.380, 5.11.0 ≤ v < 5.11.0.427, 6.0.0 ≤ v < 6.0.0.254, 6.1.0 ≤ v < 6.1.0.255, 7.0.0 ≤ v < 7.0.0.132, 7.1.0 ≤ v < 7.1.0.40, 7.2.0 ≤ v < 7.2.0.2 | 5.10.0.380, 5.11.0.427, 6.0.0.254, 6.1.0.255, 7.0.0.132, 7.1.0.40, 7.2.0.2 |
| wso2 identity_server_as_key_manager | 5.10.0 ≤ v < 5.10.0.371 | 5.10.0.371 |
| wso2 open_banking_am | 2.0.0 ≤ v < 2.0.0.400 | 2.0.0.400 |
| wso2 open_banking_iam | 2.0.0 ≤ v < 2.0.0.420 | 2.0.0.420 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.