Wso2 Identity Server
Related 28slug: wso2-identity-server
No explanation yet for this tag.
Vulnerabilities related to Wso2 Identity Server 28
- High 7.2 WSO2 Identity Serverにクライアント認証情報の付与で権限昇格される脆弱性 WSO2 Identity Serverで、authorize_all_scopes設定を有効にしていると、クライアント認証情報グラント種別を使うアプリケーションが、明示的な許可なしにすべてのAPIスコープを取得できる脆弱性です。管理操作や機密データへのアクセスにつながるおそれがあります。影響を受けるのは、Identity Serverの7.0.0.125未満と7.1.0.32未満、Identity Application Management Componentの7.0.78.137未満と7.8.23.49未満です。修正版が公開されているので、該当する版を使っている場合は修正版へ更新してください。 CVE-2025-11229
- Medium 6.1 The authentication endpoint does not properly encode user-supplied input before rendering it... CVE-2025-5769
- Medium 4.8 When utilizing JWT Bearer or SAML2 Bearer grant types, the system fails to validate the status of... CVE-2025-1397
- Medium 4.3 The error handling implementation fails to properly sanitize or validate user-supplied input... CVE-2024-12139
- Medium 4.3 The product fails to sufficiently validate callback URLs, allowing them to be manipulated with... CVE-2024-12141
- Medium 4.9 The refresh token grant type in WSO2 products fails to re-validate account status before issuing... CVE-2024-9517
- Medium 5.4 The affected components accept user-supplied input for constructing redirection URLs without... CVE-2024-2372
- Medium 4.4 When an Event Publisher output adapter is configured with properties that are irrelevant to its... CVE-2026-18800
- Medium 5.8 The affected component fails to enforce expected validation constraints on the `content-type`... CVE-2025-13647
- Medium 4.6 The user search function within the management console fails to properly encode user-supplied... CVE-2024-7075
- Medium 4.8 The account lock feature fails to correctly enforce account lockouts on the primary user store... CVE-2024-5617
- High 7.4 WSO2 Identity Serverに脆弱性、無効化されたはずのトークンで権限外の操作が可能に WSO2 Identity Serverで、大文字と小文字が混在するユーザー名のOAuthトークンが失効処理で正しく特定されず、無効化されないことがあります。有効なトークンを持つ攻撃者は、期限切れまで制限されているはずの操作を続けられるおそれがあります。影響を受けるのは7.2.0〜7.2.0.21未満のWSO2 Identity Serverと、7.0.385〜7.0.385.17未満のWSO2 Carbon OAuthで、修正版はそれぞれ7.2.0.21、7.0.385.17です。修正版へ更新してください。 CVE-2026-6647
- Low 3.1 When the `allowed_scopes` configuration is enabled, the OAuth2 token introspection mechanism does... When the allowed_scopes configuration is enabled, the OAuth2 token introspection mechanism does... CVE-2026-3583
- Medium 6.1 The authentication endpoint generates an error message that includes reflected data directly from... CVE-2026-11854
- High 8.3 WSO2製品に認証不要でサーバーの代わりに内部リソースへ接続される脆弱性 WSO2のAPI Manager、Identity Serverなど複数の製品に、サーバーに任意のネットワーク先へリクエストを送らせる脆弱性(CVE-2025-14260)が見つかりました。認証なしで攻撃されるおそれがあり、CVSSは8.3です。修正版が公開されているため、利用中の製品と版を確認し、修正版へ更新してください。 CVE-2025-14260
- High 7.4 WSO2 Identity Serverで、アクセストークンが無効化されず不正アクセスされる脆弱性 WSO2 Identity Serverなどの一部版で、パスワード再設定や権限変更の後も既存のアクセストークンが無効化されない脆弱性が見つかりました。CVSSは7.4で、流出したトークンが残っている場合に不正アクセスされるおそれがあります。WSO2 Identity Serverは7.0.0.85、WSO2 Carbon OAuthは7.0.26.51で修正されているため、該当する版を使っている場合は修正版へ更新してください。 CVE-2025-0326
- Medium 5.8 When a WSO2 product is configured to use an external user store, the system fails to adequately... CVE-2024-7478
- Medium 4.0 The product failed to enforce validation constraints on user-supplied input in URL parameters,... CVE-2024-6423
- Medium 4.8 Due to an incomplete implementation, reCaptcha is not applied to certain authentication flows... CVE-2024-5563
- Medium 6.1 The Authentication Endpoint accepts user-supplied input without sufficient encoding, allowing for... CVE-2024-5139
- Medium 4.8 The RemoteUserStoreManagerService does not sufficiently validate password change attempts when... CVE-2024-2323
- Medium 4.9 The Management Console and product files expose sensitive data, including remote log server... Vulnerability reported (CVE-2025-7203). Confidential information can be exposed externally. CVE-2025-7203
- Medium 5.3 The authentication endpoint of WSO2 Identity Server fails to provide a consistent system response... Vulnerability reported (CVE-2025-13591). Risk of unauthorized operations or information disclosure. CVE-2025-13591
- Medium 6.5 Tokens associated with user sessions are not revoked when the corresponding user session is... Vulnerability reported (CVE-2025-13173). Risk of unauthorized operations or information disclosure. CVE-2025-13173
- High 8.2 The SCIM endpoint does not sufficiently validate authorization for federated users when... Vulnerability reported (CVE-2025-10149). Data can be tampered with by attackers. CVE-2025-10149
- Low 2.7 The software accepts user-supplied data without sufficient validation, allowing for the injection... Code injection reported (CVE-2024-4412). Risk of unauthorized operations or information disclosure. CVE-2024-4412
- Critical 9.1 OS Command Injection in Management Console CVE-2024-4457
- Medium 5.4 Vulnerability in Wso2 Api Control Plane CVE-2026-0637