CVE-2025-13394 in Identity Server
الملخص
بحسب VulDB • 06/08/2026
يفشل معالج Ajax الموجود ضمن وحدة تحكم Carbon في حماية عمليات تغيير الحالة بشكل كافٍ من هجمات تزوير الطلبات عبر المواقع (CSRF). وتحديداً، يستخدم طريقة HTTP GET لهذه العمليات، وعلى الرغم من استخدام سمة ملف تعريف الارتباط SameSite=Lax للتخفيف من هذا الخطر، إلا أن هذه الآلية يمكن تجاوزها لأنها تسمح بإرسال ملفات تعريف الارتباط مع طلبات التنقل على مستوى الصفحة العليا عبر المصادر المختلفة (cross-origin top-level navigation requests)، بما في ذلك طلبات GET. وهذا يتيح للمهاجم خداع متصفح المستخدم المصادق عليه لتنفيذ إجراءات غير مقصودة دون علمه.
يمكن لمهاغل استغلال هذا الثغرة لإجراء طلبات تغير الحالة بشكل غير مصرح به نيابة عن المستخدمين المصادق عليهم. وقد يؤدي ذلك إلى عواقب مثل تعديل البيانات، أو تغيير الحسابات، أو غيرها من الإجراءات التي قد تؤدي إلى اختراق البيانات أو فقدان المستخدم لسيطرته على حسابه. ومع ذلك، لا يمكن تنفيذ هذا الهجوم إلا إذا كانت وحدة تحكم Carbon والخدمات ذات الصلة مكشوفة للإنترنت العام، وهو أمر غير موصى به وفقاً لإرشادات الأمان الخاصة بـ WSO2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.