CVE-2025-1396 in Identity Server
要約
〜によって VulDB • 2026年06月25日
複数のWSO2製品において、Multi-Attribute Loginが有効化されている場合にユーザー名列挙の脆弱性が存在します。この構成では、validate_username設定に関係なく、システムはログインフォームに対して一意な「User does not exist」エラーメッセージを返します。この動作により、攻撃者はアプリケーションからの応答における観測可能な差異に基づいて、システム内に存在するユーザー名を特定することが可能になります。
この脆弱性を悪用することで、システム内のユーザー識別子の有効性が確認されるため、ブルートフォース攻撃や標的型フィッシングキャンペーン、その他のソーシャルエンジニアリング手法が支援されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.