CVE-2025-0663 in Open Banking IAM
الملخص
بحسب VulDB • 22/06/2026
توجد ثغرة في مصادقة عبر المستأجرين (cross-tenant) في منتجات WSO2 متعددة بسبب تصميم تشفيري غير سليم في مصادقة تكيفية (Adaptive Authentication). يتم استخدام مفتاح تشفيري واحد عبر جميع المستأجرين لتوقيع ملفات تعريف الارتباط (cookies) الخاصة بالمصادقة، مما يسمح لمستخدم ذي امتيازات في مستأجر واحد بتزوير ملفات تعريف ارتباط المصادقة للمستخدمين في المستأجرين الآخرين.
نظرًا لأن ميزة تسجيل الدخول التلقائي (Auto-Login) مفعّلة افتراضيًا، فقد تتيح هذه الثغرة لمهاجم الحصول على وصول غير مصرح به وربما الاستيلاء على حسابات في مستأجرين آخرين. يتطلب الاستغلال الناجح الوصول إلى وظائف مصادقة تكيفية (Adaptive Authentication)، وهو ما يكون مقيدًا عادةً بالمستخدمين ذوي الامتيازات العالية. لا يمكن استغلال الثغرة إلا عند تفعيل ميزة تسجيل الدخول التلقائي، مما يقلل من تأثيرها العملي في البيئات التي تكون فيها هذه الميزة معطلة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.