高 7.2

WSO2 Identity Serverにクライアント認証情報の付与で権限昇格される脆弱性

CVE-2025-11229 SecPulse初出 11月4日 14:29

概要

WSO2 Identity Serverで、authorize_all_scopes設定を有効にしていると、クライアント認証情報グラント種別を使うアプリケーションが、明示的な許可なしにすべてのAPIスコープを取得できる脆弱性です。管理操作や機密データへのアクセスにつながるおそれがあります。影響を受けるのは、Identity Serverの7.0.0.125未満と7.1.0.32未満、Identity Application Management Componentの7.0.78.137未満と7.8.23.49未満です。修正版が公開されているので、該当する版を使っている場合は修正版へ更新してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
WSO2	WSO2 Identity Server	7.0.0 以上 7.0.0.125 未満 7.1.0 以上 7.1.0.32 未満	7.0.0.125 7.1.0.32
WSO2	WSO2 Identity Application Management Component	7.0.78 以上 7.0.78.137 未満 7.8.23 以上 7.8.23.49 未満	7.0.78.137 7.8.23.49

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

The system fails to properly enforce scope authorization when the authorize_all_scopes configuration is enabled. This allows applications using the client credentials grant type to obtain all API scopes, including sensitive internal and console scopes, without requiring explicit authorization, bypassing intended access controls.

Exploitation of this vulnerability can lead to privilege escalation, enabling unprivileged clients to perform unauthorized administrative actions, access confidential organizational data, and potentially achieve full account takeover in deployments where the authorize_all_scopes configuration deviates from its default disabled state.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory