CVE-2025-1396
Açıklama
Multi-Attribute Login etkinleştirildiğinde, birden fazla WSO2 ürününde kullanıcı adı numaralandırma zafiyeti bulunmaktadır. Bu yapılandırmada sistem, validate_username ayarına bakılmaksızın giriş formuna belirgin bir "User does not exist" hata mesajı döndürür. Bu davranış, kötü niyetli aktörlerin uygulamanın yanıtlarındaki gözlemlenebilir farklılıklara dayanarak sistemde hangi kullanıcı adlarının mevcut olduğunu belirlemesine olanak tanır. Bu zafiyetin istismar edilmesi; sistemdeki kullanıcı tanımlayıcılarının geçerliliğini onaylayarak kaba kuvvet saldırılarına, hedefli kimlik avı kampanyalarına veya diğer sosyal mühendislik tekniklerine yardımcı olabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 identity_server | 5.10.0, 5.11.0, 6.0.0, 6.1.0 | — |
| wso2 identity_server_as_key_manager | 5.10.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| org.wso2.carbon.identity.framework:org.wso2.carbon.identity.input.validation.mgtMaven | v ≤ 7.8.103 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.