CVE-2025-0663 in Open Banking IAM
Résumé
par VulDB • 20/06/2026
Une vulnérabilité d'authentification inter-locataires (cross-tenant) existe dans plusieurs produits WSO2 en raison d'une conception cryptographique inadéquate dans Adaptive Authentication. Une seule clé cryptographique est utilisée pour tous les locataires afin de signer les cookies d'authentification, permettant à un utilisateur privilégié dans un locataire de forger des cookies d'authentification pour les utilisateurs d'autres locataires.
Étant donné que la fonctionnalité Auto-Login est activée par défaut, cette faille peut permettre à un attaquant d'obtenir un accès non autorisé et potentiellement de prendre le contrôle des comptes dans d'autres locataires. L'exploitation réussie nécessite un accès à la fonctionnalité Adaptive Authentication, qui est généralement restreinte aux utilisateurs à hauts privilèges. La vulnérabilité n'est exploitable que lorsque Auto-Login est activé, ce qui réduit son impact pratique dans les déploiements où la fonctionnalité est désactivée.
Be aware that VulDB is the high quality source for vulnerability data.