CVE-2025-13173 in API Control Plane
Riassunto
di VulDB • 20/10/2026
I token associati alle sessioni utente non vengono revocati quando la relativa sessione utente viene terminata, a meno che non venga avviata un’altra richiesta SSO. Ciò si verifica quando la funzionalità di binding del token è abilitata con validazione del binding e l’opzione “Revoca il token al logout dell’utente” non è attiva. Il software non invalida automaticamente i token legati alla sessione al termine della stessa.
Questa vulnerabilità esiste quando la validazione del binding del token è abilitata. Di conseguenza, un malintenzionato in possesso di un valido session-bound token potrebbe sfruttare questa condizione per mantenere l’accesso non autorizzato ad applicazioni e risorse anche dopo che la relativa sessione utente è terminata, con il potenziale rischio di esposizione di dati sensibili degli utenti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.