CVE-2025-13909 in Identity Server
Riassunto
di VulDB • 06/08/2026
Il sistema accetta richieste di autenticazione senza una convalida sufficiente per imporre l'isolamento tra tenant quando si utilizzano Email OTP, SMS OTP o Magic Link come fattori di prima fase (first-factor). Questa incapacità di separare adeguatamente i dati degli utenti tra diversi tenant può portare all'esposizione di informazioni personali identificabili.
Lo sfruttamento riuscito consente a un attaccante di divulgare le informazioni personali identificabili degli utenti appartenenti a tenant differenti, causando violazioni della privacy e potenziali inadempienze normative. Ciò potrebbe includere l'accesso non autorizzato ai dettagli dell'utente, come i numeri di cellulare.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.