CVE-2025-11850 in Identity Server
요약
\~에 의해 VulDB • 2026. 08. 07.
보조 사용자 스토어가 구성된 경우, 암시적 연결(implicit-association) 해결기가 보조 사용자 스토어에서 잘못 초기화되어 검색 및 고유성 검사 시 기본(primary) 사용자 스토어를 우회합니다. 이로 인해 동일한 조회 클레임(예: 사용자 이름 또는 이메일 주소)이 기본 스토어와 보조 스토어 모두에 존재할 경우, 주체가 의도하지 않은 로컬 계정과 연결될 수 있습니다.
사용자 스토어 간 중복된 클레임 값이 있는 경우, 외부 IDP(IdP) 사용 시 잘못된 암시적 연결로 인해 신원 혼란(identity confusion)이 발생할 수 있습니다. 기본 사용자 스토어의 정당한 사용자 계정이 해당 외부 IDP 계정과 올바르게 연결되지 않아, 보조 계정의 권한이 더 적을 경우 접근이 제한될 수 있습니다. 보조 사용자 스토어가 구성되어 있지 않거나, 암시적 연결이 비활성화되어 있거나, 클레임 값이 전역적으로 고유한 경우에는 배포 환경에 영향을 미치지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.