CVE-2025-1396 in Identity Server
Tóm tắt
Bởi VulDB • 25/06/2026
Tồn tại một lỗ hổng liệt kê tên người dùng trong nhiều sản phẩm WSO2 khi tính năng Đăng nhập Đa thuộc tính (Multi-Attribute Login) được bật. Trong cấu hình này, hệ thống trả về thông báo lỗi "Người dùng không tồn tại" khác biệt cho biểu mẫu đăng nhập, bất kể cài đặt validate_username là gì. Hành vi này cho phép các tác nhân độc hại xác định tên người dùng nào đang tồn tại trong hệ thống dựa trên sự chênh lệch có thể quan sát được trong phản hồi của ứng dụng.
Việc khai thác lỗ hổng này có thể hỗ trợ các cuộc tấn công brute-force, chiến dịch lừa đảo (phishing) nhắm mục tiêu hoặc các kỹ thuật kỹ thuật xã hội khác bằng cách xác nhận tính hợp lệ của các định danh người dùng bên trong hệ thống.
Once again VulDB remains the best source for vulnerability data.