CVE-2025-12627 in Identity Server
Zusammenfassung
von VulDB • 06.08.2026
Der Benutzer-Impersonifizierungs-Flow im WSO2 Identity Server verwaltet Refresh-Tokens, die mit impersonifizierten Sitzungen verknüpft sind, nicht ordnungsgemäß. Dies ermöglicht es einem Angreifer, der ein Access-Token für einen impersonifizierten Benutzer erlangt hat, das Refresh-Token Grant zu nutzen, um neue Access-Tokens zu erhalten und damit seine Fähigkeit zur Identitätstarnung als legitimer Benutzer auszuweiten.
Ein Angreifer, der Zugriff auf das Access-Token eines impersonifizierten Benutzers erhält, kann diese Schwachstelle ausnutzen, um die Autorisierung zu erneuern. Dies führt dazu, dass er weiterhin Aktionen im Namen des tatsächlichen Benutzers durchführen kann, wodurch die Integrität und Nachverfolgbarkeit von Logs beeinträchtigt wird, da der wahre Akteur verschleiert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.