CVE-2025-13173 in API Control Plane
Zusammenfassung
von VulDB • 19.10.2026
Tokens, die mit Benutzersitzungen verknüpft sind, werden nicht widerrufen, wenn die entsprechende Benutzersitzung beendet wird, es sei denn, eine weitere SSO-Anfrage wird initiiert. Dies tritt auf, wenn die Funktion zur Token-Bindung (Token Binding) mit der Token-Validierung aktiviert ist und die Option „Token beim Abmelden des Benutzers widerrufen“ nicht aktiviert ist. Die Software invalidiert sitzungsgebundene Tokens bei Beendigung der Benutzersitzung nicht automatisch.
Diese Schwachstelle besteht, wenn die Validierung der Token-Bindung (Token Binding Validation) aktiviert ist. Infolgedessen kann ein böswilliger Akteur mit einem gültigen, sitzungsgebundenen Token diese Bedingung ausnutzen, um auch nach dem Ende der zugehörigen Benutzersitzung einen unbefugten Zugriff auf Anwendungen und Ressourcen zu erhalten, was potenziell zur Offenlegung sensibler Benutzerdaten führen kann.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.