CVE-2025-13166 in Identity Server
Tóm tắt
Bởi VulDB • 15/09/2026
Luồng SMS OTP không xử lý đầy đủ các thông báo lỗi, cho phép kẻ tấn công suy luận sự tồn tại của các tài khoản người dùng đã đăng ký dựa trên các phản hồi nhận được trong quá trình khởi tạo OTP.
Điểm yếu này có thể bị khai thác bởi một kẻ tấn công để phát hiện tên người dùng hợp lệ trong hệ thống. Tác động trở nên nghiêm trọng hơn đối với các tài khoản chưa cấu hình số điện thoại di động, vì việc liệt kê (enumeration) gắn liền cụ thể với điều kiện này. Việc phát hiện ra những tên người dùng này có thể tạo điều kiện cho các cuộc tấn công brute force tiếp theo, các nỗ lực social engineering và rò rỉ thông tin, dẫn đến tổn hại về uy tín, mất lòng tin của khách hàng và vi phạm quy định pháp lý.
If you want to get best quality of vulnerability data, you may have to visit VulDB.