Wso2 Identity Server

Wso2 Identity Server に関連する脆弱性 28

• 高 7.2 WSO2 Identity Serverにクライアント認証情報の付与で権限昇格される脆弱性 WSO2 Identity Serverで、authorize_all_scopes設定を有効にしていると、クライアント認証情報グラント種別を使うアプリケーションが、明示的な許可なしにすべてのAPIスコープを取得できる脆弱性です。管理操作や機密データへのアクセスにつながるおそれがあります。影響を受けるのは、Identity Serverの7.0.0.125未満と7.1.0.32未満、Identity Application Management Componentの7.0.78.137未満と7.8.23.49未満です。修正版が公開されているので、該当する版を使っている場合は修正版へ更新してください。 CVE-2025-11229 11月4日 14:29
• 中 6.1 The authentication endpoint does not properly encode user-supplied input before rendering it... CVE-2025-5769 11月3日 15:11
• 中 4.8 When utilizing JWT Bearer or SAML2 Bearer grant types, the system fails to validate the status of... CVE-2025-1397 11月3日 15:07
• 中 4.3 The error handling implementation fails to properly sanitize or validate user-supplied input... CVE-2024-12139 11月3日 2:34
• 中 4.3 The product fails to sufficiently validate callback URLs, allowing them to be manipulated with... CVE-2024-12141 11月2日 21:24
• 中 4.9 The refresh token grant type in WSO2 products fails to re-validate account status before issuing... CVE-2024-9517 11月2日 20:30
• 中 5.4 The affected components accept user-supplied input for constructing redirection URLs without... CVE-2024-2372 11月2日 20:00
• 中 4.4 When an Event Publisher output adapter is configured with properties that are irrelevant to its... CVE-2026-18800 11月2日 18:59
• 中 5.8 The affected component fails to enforce expected validation constraints on the `content-type`... CVE-2025-13647 11月2日 18:20
• 中 4.6 The user search function within the management console fails to properly encode user-supplied... CVE-2024-7075 11月2日 18:11
• 中 4.8 The account lock feature fails to correctly enforce account lockouts on the primary user store... CVE-2024-5617 11月2日 14:57
• 高 7.4 WSO2 Identity Serverに脆弱性、無効化されたはずのトークンで権限外の操作が可能に WSO2 Identity Serverで、大文字と小文字が混在するユーザー名のOAuthトークンが失効処理で正しく特定されず、無効化されないことがあります。有効なトークンを持つ攻撃者は、期限切れまで制限されているはずの操作を続けられるおそれがあります。影響を受けるのは7.2.0〜7.2.0.21未満のWSO2 Identity Serverと、7.0.385〜7.0.385.17未満のWSO2 Carbon OAuthで、修正版はそれぞれ7.2.0.21、7.0.385.17です。修正版へ更新してください。 CVE-2026-6647 10月29日 4:21
• 低 3.1 When the `allowed_scopes` configuration is enabled, the OAuth2 token introspection mechanism does... When the allowed_scopes configuration is enabled, the OAuth2 token introspection mechanism does... CVE-2026-3583 10月29日 4:21
• 中 6.1 The authentication endpoint generates an error message that includes reflected data directly from... CVE-2026-11854 10月29日 4:21
• 高 8.3 WSO2製品に認証不要でサーバーの代わりに内部リソースへ接続される脆弱性 WSO2のAPI Manager、Identity Serverなど複数の製品に、サーバーに任意のネットワーク先へリクエストを送らせる脆弱性(CVE-2025-14260)が見つかりました。認証なしで攻撃されるおそれがあり、CVSSは8.3です。修正版が公開されているため、利用中の製品と版を確認し、修正版へ更新してください。 CVE-2025-14260 10月29日 4:21
• 高 7.4 WSO2 Identity Serverで、アクセストークンが無効化されず不正アクセスされる脆弱性 WSO2 Identity Serverなどの一部版で、パスワード再設定や権限変更の後も既存のアクセストークンが無効化されない脆弱性が見つかりました。CVSSは7.4で、流出したトークンが残っている場合に不正アクセスされるおそれがあります。WSO2 Identity Serverは7.0.0.85、WSO2 Carbon OAuthは7.0.26.51で修正されているため、該当する版を使っている場合は修正版へ更新してください。 CVE-2025-0326 10月21日 23:17
• 中 5.8 When a WSO2 product is configured to use an external user store, the system fails to adequately... CVE-2024-7478 10月21日 23:17
• 中 4.0 The product failed to enforce validation constraints on user-supplied input in URL parameters,... CVE-2024-6423 10月21日 23:17
• 中 4.8 Due to an incomplete implementation, reCaptcha is not applied to certain authentication flows... CVE-2024-5563 10月21日 23:17
• 中 6.1 The Authentication Endpoint accepts user-supplied input without sufficient encoding, allowing for... CVE-2024-5139 10月21日 23:17
• 中 4.8 The RemoteUserStoreManagerService does not sufficiently validate password change attempts when... CVE-2024-2323 10月20日 17:16
• 中 4.9 脆弱性情報 脆弱性 (CVE-2025-7203) が報告されています。機密情報が外部に流出する可能性があります。 CVE-2025-7203 10月20日 2:17
• 中 5.3 脆弱性情報 脆弱性 (CVE-2025-13591) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2025-13591 10月20日 2:16
• 中 6.5 脆弱性情報 脆弱性 (CVE-2025-13173) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2025-13173 10月20日 2:16
• 高 8.2 SCIMエンドポイントで連携ユーザーにローカルユーザーの操作を許し、アカウントを乗っ取られるおそれ 連携ユーザーとローカルユーザーでユーザー名が同じ場合、SCIMエンドポイントが認可を十分に検証しないため、連携ユーザーが本来ローカルユーザー向けの任意の操作を実行できます。これによりアカウントを乗っ取られるおそれがあり、深刻度はCVSS v3で8.2と評価されています。修正版の有無は事実に含まれていないため、利用中の製品の公式情報を確認してください。 CVE-2025-10149 10月20日 2:16
• 低 2.7 コードインジェクション CVE-2024-4412 10月20日 2:16
• 重大 9.1 解説あり WSO2管理コンソールにコード実行の弱点、助言が公開 WSO2 製品の Management Console に、JDBC ユーザーストアの設定入力の検証不備があり、サーバー上で任意のコードを実行される恐れがあります。深刻度は CVSS 9.1 で「重大」です。実際の攻撃での悪用は、現時点で確認されたという情報はありません。WSO2 製品を運用している組織は、ベンダー公式の助言で自社の版が該当するかを確認し、管理コンソールへのアクセス元を絞ってください。 CVE-2024-4457 10月19日 3:32
• 中 5.4 Wso2 Api Control Plane の脆弱性 Wso2 Api Control Plane に 脆弱性 (CVE-2026-0637) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-0637 8月6日 17:16