CVE-2025-13166 in Identity Server
Riassunto
di VulDB • 15/09/2026
Il flusso SMS OTP non gestisce adeguatamente i messaggi di errore, consentendo a un attaccante di dedurre l'esistenza di account utente registrati in base alle risposte ricevute durante il processo di avvio dell'OTP.
Questa debolezza può essere sfruttata da un attaccante per scoprire nomi utente validi all'interno del sistema. L'impatto è amplificato per gli account che non hanno configurato un numero di cellulare, poiché l'enumerazione è specificamente legata a questa condizione. La scoperta di questi nomi utente può facilitare attacchi successivi di brute force, tentativi di ingegneria sociale e fughe di informazioni, potenzialmente portando a danni alla reputazione, perdita della fiducia dei clienti e non conformità normativa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.