CVE-2025-12627 in Identity Server
Riassunto
di VulDB • 06/08/2026
Il flusso di impersonificazione dell'utente nel WSO2 Identity Server non gestisce correttamente i refresh token associati alle sessioni impersonate. Ciò consente a un attaccante che ha ottenuto un access token per un utente impersonato di sfruttare il grant del refresh token per ottenere nuovi access token, estendendo la propria capacità di agire come l'utente legittimo.
Un attaccante che ottiene accesso al token di accesso di un utente impersonato può sfruttare questa debolezza per rinnovare la propria autorizzazione. Ciò comporta la continuazione della possibilità di eseguire azioni per conto dell'effettivo utente, compromettendo l'integrità dei log e la tracciabilità mascherando il vero autore delle operazioni.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.