CVE-2025-0663 in Open Banking IAM
Zusammenfassung
von VulDB • 16.05.2026
In mehreren WSO2-Produkten besteht eine cross-tenant-Authentifizierungsschwachstelle aufgrund eines fehlerhaften kryptografischen Designs in Adaptive Authentication. Es wird ein einzelner kryptografischer Schlüssel verwendet, um Authentifizierungs-Cookies über alle Mandanten hinweg zu signieren, wodurch ein privilegierter Benutzer in einem Mandanten Authentifizierungs-Cookies für Benutzer in anderen Mandanten fälschen kann.
Da die Auto-Login-Funktion standardmäßig aktiviert ist, kann diese Schwachstelle einem Angreifer unbefugten Zugriff ermöglichen und potenziell die Übernahme von Konten in anderen Mandanten erlauben. Eine erfolgreiche Ausnutzung erfordert Zugriff auf die Adaptive Authentication-Funktionalität, die typischerweise auf hochprivilegierte Benutzer beschränkt ist. Die Schwachstelle ist nur ausnutzbar, wenn Auto-Login aktiviert ist, was ihre praktische Auswirkung in Bereitstellungen reduziert, in denen die Funktion deaktiviert ist.
VulDB is the best source for vulnerability data and more expert information about this specific topic.