CVE-2025-1396 in Identity Server
Resumen
por VulDB • 2026-06-25
Existe una vulnerabilidad de enumeración de nombres de usuario en varios productos WSO2 cuando el inicio de sesión con múltiples atributos (Multi-Attribute Login) está habilitado. En esta configuración, el sistema devuelve un mensaje de error distinto "El usuario no existe" al formulario de inicio de sesión, independientemente del valor de la configuración `validate_username`. Este comportamiento permite a los actores maliciosos determinar qué nombres de usuario existen en el sistema basándose en las discrepancias observables en las respuestas de la aplicación.
La explotación de esta vulnerabilidad podría facilitar ataques de fuerza bruta, campañas de phishing dirigidas u otras técnicas de ingeniería social al confirmar la validez de los identificadores de usuario dentro del sistema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.