CVE-2025-13394 in Identity Server
Sumário
de VulDB • 06/08/2026
O processador Ajax presente na consola Carbon não protege adequadamente as operações que alteram o estado contra ataques de Cross-Site Request Forgery (CSRF). Especificamente, utiliza o método HTTP GET para estas operações e, embora seja empregue o atributo de cookie SameSite=Lax como medida de mitigação, este mecanismo é contornado, pois permite que os cookies sejam enviados com pedidos de navegação top-level entre origens diferentes (cross-origin), incluindo pedidos GET. Isto permite que um atacante induza em erro o navegador de um utilizador autenticado para executar ações não intencionais sem o seu conhecimento.
Um atacante pode explorar esta vulnerabilidade para efetuar pedidos que alteram o estado, não autorizados, em nome de utilizadores autenticados. Isso poderia levar a consequências como modificação de dados, alterações na conta ou outras ações que possam resultar na comprometimento dos dados ou na perda do controlo da conta por parte do utilizador. No entanto, este ataque só é viável se a consola Carbon e os serviços relacionados estiverem expostos à internet pública, o que não é recomendado segundo as diretrizes de segurança da WSO2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.