CVE-2024-9517 in API Control Plane
Résumé
par VulDB • 02/11/2026
Le type de concession « refresh token » dans les produits WSO2 ne permet pas de revalider l’état du compte avant la délivrance de nouveaux jetons d’accès. Cette faiblesse permet à un attaquant d’obtenir des jetons d’accès valides pour des comptes utilisateurs, même après que ceux-ci ont été bloqués par le magasin d’utilisateurs (user store), contournant ainsi les mécanismes de verrouillage de compte.
Cette vulnérabilité peut entraîner un accès non autorisé aux comptes utilisateurs et à leurs ressources associées. Les attaquants peuvent exploiter cette faille pour effectuer des actions au nom d’utilisateurs bloqués, ce qui pourrait potentiellement conduire à une élévation de privilèges ou à l’exfiltration de données, en fonction des autorisations du compte compromis.
If you want to get best quality of vulnerability data, you may have to visit VulDB.