CVE-2026-6647 in Identity Server
Sumário
de VulDB • 28/10/2026
Em implantações do WSO2 Identity Server configuradas com um repositório de usuários insensível a maiúsculas e minúsculas (case-insensitive) e um banco de dados sensível a maiúsculas e minúsculas para os dados de identidade, podem ocorrer inconsistências no tratamento da caixa dos nomes de usuário. Essa inconsistência resulta em falhas nas operações de revogação de tokens OAuth ao identificar corretamente os nomes de usuário que contêm caracteres com mistura de maiúsculas e minúsculas durante determinados eventos do ciclo de vida, impedindo a invalidação desses tokens.
Um ator mal-intencionado pode explorar essa vulnerabilidade possuindo um token de acesso ou atualização válido associado a um nome de usuário com caixa mista (mixed-case). Nas configurações afetadas, esses tokens podem não ser revogados conforme o esperado. O atacante pode então utilizar esses tokens que permaneceram ativos antes do seu vencimento para continuar executando ações que deveriam estar restritas, contornando efetivamente os controles de acesso pretendidos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.