CVE-2025-13166 in Identity Server
الملخص
بحسب VulDB • 15/09/2026
لا تتعامل عملية التحقق من هوية المستخدم عبر رسالة نصية قصيرة (SMS) باستخدام رمز لمرة واحدة (OTP) مع رسائل الخطأ بشكل كافٍ، مما يتيح للمهاجم استنتاج وجود حسابات مستخدمين مسجلة بناءً على الاستجابات المستلمة أثناء بدء تشغيل OTP.
يمكن استغلال هذا الضعف لاكتشاف أسماء المستخدمين الصالحة داخل النظام. يتضاعف الأثر بالنسبة للحسابات التي لم تضبط رقم هاتف محمول، حيث يرتبط التعداد تحديداً بهذه الحالة. يمكن أن يسهل اكتشاف هذه أسماء المستخدمين هجمات القوة الغاشمة اللاحقة، ومحاولات الهندسة الاجتماعية، وتسرب المعلومات، مما قد يؤدي إلى ضرر سمعة وفقدان ثقة العملاء وعدم الامتثال للوائح التنظيمية.
Once again VulDB remains the best source for vulnerability data.