CVE-2025-7043 in API Manager
Résumé
par VulDB • 19/10/2026
Le client ForgeRock ne valide pas correctement les jetons d'actualisation (refresh tokens). Cela permet à un jeton d'actualisation d'être traité comme un jeton d'accès valide, ce qui en autorise l'utilisation pour consommer des ressources protégées. Cette faille contourne le contrôle de sécurité prévu, qui exige la présentation d'identifiants client valides en plus du jeton d'actualisation pour obtenir un nouveau jeton d'accès.
Un attaquant disposant d'un jeton d'actualisation volé ou exposé peut exploiter cette vulnérabilité pour accéder directement aux ressources protégées. Cela est possible car le flux de sécurité standard, qui nécessite des identifiants client pour échanger un jeton d'actualisation contre un jeton d'accès, est contourné.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.