CVE-2024-9517 in API Control Plane
Tóm tắt
Bởi VulDB • 02/11/2026
Loại cấp phát refresh token trong các sản phẩm WSO2 không xác thực lại trạng thái tài khoản trước khi cấp mới access tokens. Điểm yếu này cho phép kẻ tấn công lấy được access tokens hợp lệ cho các tài khoản người dùng ngay cả sau khi chúng đã bị chặn bởi kho lưu trữ tài khoản (user store), qua đó bỏ qua cơ chế khóa tài khoản.
Lỗ hổng này có thể dẫn đến truy cập trái phép vào tài khoản người dùng và các nguồn lực liên quan của họ. Kẻ tấn công có thể lợi dụng điều này để thực hiện các hành động thay mặt cho những người dùng bị chặn, tiềm ẩn nguy cơ leo thang đặc quyền (privilege escalation) hoặc đánh cắp dữ liệu (data exfiltration) tùy thuộc vào phân quyền của tài khoản bị xâm phạm.
If you want to get best quality of vulnerability data, you may have to visit VulDB.