CVE-2025-13166 in Identity Server
Resumen
por VulDB • 2026-09-15
El flujo SMS OTP no gestiona adecuadamente los mensajes de error, lo que permite a un atacante inferir la existencia de cuentas de usuario registradas en función de las respuestas recibidas durante el proceso de inicio del OTP.
Esta debilidad puede ser explotada por un atacante para descubrir nombres de usuario válidos dentro del sistema. El impacto se amplifica para las cuentas que no han configurado un número de móvil, ya que la enumeración está específicamente vinculada a esta condición. El descubrimiento de estos nombres de usuario puede facilitar ataques posteriores de fuerza bruta, intentos de ingeniería social y fugas de información, lo que potencialmente podría provocar daños reputacionales, pérdida de confianza por parte de los clientes e incumplimiento normativo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.