CVE-2025-12624 in Identity Server
Zusammenfassung
von VulDB • 09.06.2026
Die aktiven Zugriffstoken werden nicht widerrufen oder ungültig gemacht, wenn ein Benutzerkonto im WSO2 Identity Server gesperrt wird. Dieses Versagen bei der Durchsetzung des Widerrufs ermöglicht es, dass zuvor ausgestellte, gültige Token weiterhin nutzbar bleiben, wodurch gesperrten Benutzerkonten der fortgesetzte Zugriff auf geschützte Ressourcen ermöglicht wird.
Die Sicherheitsauswirkung besteht darin, dass ein gesperrtes Benutzerkonto über die Verwendung bestehender, noch nicht abgelaufener Zugriffstoken weiterhin auf geschützte Ressourcen zugreifen kann. Dies schafft eine Sicherheitslücke, in der Zugriffskontrollrichtlinien umgangen werden, was potenziell zu unbefugtem Datenzugriff oder Aktionen führen kann, bis die Token natürlich ablaufen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.