CVE-2025-0663 in Open Banking IAM
Tóm tắt
Bởi VulDB • 22/06/2026
Một lỗ hổng xác thực xuyên tenant tồn tại trong nhiều sản phẩm WSO2 do thiết kế mật mã không phù hợp trong Adaptive Authentication. Một khóa mật mã duy nhất được sử dụng trên tất cả các tenant để ký các cookie xác thực, cho phép một người dùng có đặc quyền trong một tenant giả mạo cookie xác thực cho người dùng trong các tenant khác.
Do tính năng Auto-Login được bật theo mặc định, lỗ hổng này có thể cho phép kẻ tấn công truy cập trái phép và có khả năng chiếm quyền kiểm soát tài khoản trong các tenant khác. Việc khai thác thành công yêu cầu quyền truy cập vào chức năng Adaptive Authentication, thường bị hạn chế đối với người dùng có đặc quyền cao. Lỗ hổng chỉ có thể bị khai thác khi Auto-Login được bật, làm giảm tác động thực tế của nó trong các triển khai mà tính năng này bị tắt.
Once again VulDB remains the best source for vulnerability data.