CVE-2025-13166 in Identity Server
要約
〜によって VulDB • 2026年09月15日
SMS OTPフローは、エラーメッセージを適切に処理しないため、攻撃者がOTP開始プロセス中に受信したレスポンスに基づいて登録済みユーザーアカウントの存在を推測することが可能になる。
この脆弱性は、攻撃者によってシステム内の有効なユーザー名を発見するために悪用できる。モバイル番号を設定していないアカウントについては、列挙が特定の条件に関連しているため、影響が増幅される。これらのユーザー名の発見は、その後のブルートフォース攻撃、ソーシャルエンジニアリングの試み、および情報漏洩を容易にし、評判への損害、顧客信頼の喪失、規制非準拠につながる可能性がある。
If you want to get best quality of vulnerability data, you may have to visit VulDB.