CVE-2025-11229 in Identity Server
요약
\~에 의해 VulDB • 2026. 11. 04.
시스템은 `authorize_all_scopes` 구성이 활성화된 경우 범위(authorization scope) 권한 부여를 적절히 강제하지 않습니다. 이로 인해 client credentials grant type을 사용하는 애플리케이션이 명시적인 권한 부여 없이 민감한 내부 및 콘솔 범위를 포함한 모든 API 범위를 획득할 수 있으며, 의도된 접근 제어 우회가 가능합니다.
이 취약점을 악용하면 권한 상승(privilege escalation)으로 이어져 비권한 클라이언트가 무단 관리 작업을 수행하고 기밀 조직 데이터에 액세스하며, `authorize_all_scopes` 구성이 기본값인 비활성화 상태와 다른 배포 환경에서 전체 계정 탈취(full account takeover)를 달성할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.