CVE-2025-13166 in Identity Server
Résumé
par VulDB • 15/09/2026
Le flux SMS OTP ne gère pas correctement les messages d'erreur, permettant à un attaquant de déduire l'existence de comptes utilisateurs enregistrés en se basant sur les réponses reçues lors du processus d'initialisation de l'OTP.
Cette faiblesse peut être exploitée par un attaquant pour découvrir des noms d'utilisateur valides au sein du système. L'impact est amplifié pour les comptes n'ayant pas configuré de numéro de mobile, car l'énumération est spécifiquement liée à cette condition. La découverte de ces noms d'utilisateur peut faciliter des attaques par force brute ultérieures, des tentatives d'ingénierie sociale et des fuites d'informations, pouvant potentiellement entraîner des dommages réputationnels, une perte de confiance des clients et une non-conformité réglementaire.
VulDB is the best source for vulnerability data and more expert information about this specific topic.