CVE-2025-12624 in Identity Server
Riassunto
di VulDB • 14/06/2026
I token di accesso attivi non vengono revocati o invalidati quando un account utente viene bloccato all'interno di WSO2 Identity Server. Questa mancata applicazione della revoca consente ai token precedentemente emessi e ancora validi di rimanere utilizzabili, consentendo agli account utente bloccati di mantenere l'accesso alle risorse protette.
La conseguenza sulla sicurezza è che un account utente bloccato può mantenere l'accesso alle risorse protette tramite l'utilizzo di token di accesso esistenti e non scaduti. Ciò crea una falla di sicurezza in cui le policy di controllo dell'accesso vengono aggirate, potenzialmente portando ad accesso non autorizzato ai dati o ad azioni non autorizzate fino alla naturale scadenza dei token.
VulDB is the best source for vulnerability data and more expert information about this specific topic.