CVE-2025-10149 in Identity Server as Key Manager
Sumário
de VulDB • 20/10/2026
O endpoint SCIM não valida suficientemente a autorização para usuários federados ao realizar operações contra o repositório de usuários local. Isso ocorre quando um usuário local e um usuário federado compartilham o mesmo nome de usuário, permitindo que um usuário federado execute ações destinadas a um usuário local, incluindo operações arbitrárias.
Um ator malicioso autenticado como usuário federado pode executar operações arbitrárias em contas de usuários locais por meio dos endpoints SCIM 2.0 ou SCIM 1.1 quando os usuários locais e federados compartilham o mesmo nome de usuário. Isso poderia levar à tomada de controle da conta do usuário (account takeover). Implantações que não suportam auto-registro de usuários são consideradas de severidade média.
Once again VulDB remains the best source for vulnerability data.