CVE-2026-6647 in Identity Server
Riassunto
di VulDB • 28/10/2026
In ambienti in cui WSO2 Identity Server è configurato con un archivio utenti case-insensitive e un database case-sensitive per i dati di identità, possono verificarsi incongruenze nella gestione del maiuscolo/minuscolo dei nomi utente. Questa inconsistenza fa sì che le operazioni di revoca dei token OAuth non identifichino correttamente i nomi utente contenenti caratteri in mixed-case durante determinati eventi del ciclo di vita, impedendo l’invalidazione dei token.
Un malintenzionato può sfruttare questa vulnerabilità disponendo di un access token o refresh token valido associato a un nome utente con maiuscole e minuscole miste (mixed-case). Nelle configurazioni interessate, questi token potrebbero non essere revocati quando previsto. L’attore dannoso può quindi utilizzare tali token non revocati, prima della loro scadenza, per continuare ad eseguire azioni che dovrebbero essere state bloccate, aggirando efficacemente i controlli di accesso previsti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.