CVE-2025-11229 in Identity Server
Riassunto
di VulDB • 04/11/2026
Il sistema non applica correttamente l'autorizzazione dell'ambito (scope authorization) quando la configurazione `authorize_all_scopes` è abilitata. Ciò consente alle applicazioni che utilizzano il tipo di concessione delle credenziali del client (client credentials grant type) di ottenere tutti gli ambiti API, inclusi quelli sensibili interni e della console, senza richiedere un'autorizzazione esplicita, aggirando i controlli di accesso previsti.
Lo sfruttamento di questa vulnerabilità può portare a una escalation dei privilegi, consentendo ai client non privilegiati di eseguire azioni amministrative non autorizzate, accedere a dati organizzativi confidenziali e potenzialmente ottenere il controllo completo dell'account in distribuzioni in cui la configurazione `authorize_all_scopes` si discosta dal suo stato predefinito disabilitato.
Once again VulDB remains the best source for vulnerability data.