中 4.8

When utilizing JWT Bearer or SAML2 Bearer grant types, the system fails to validate the status of...

CVE-2025-1397 SecPulse初出 11月3日 15:07

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
WSO2	WSO2 Universal Gateway	4.5.0 以上 4.5.0.10 未満	4.5.0.10
WSO2	WSO2 Traffic Manager	4.5.0 以上 4.5.0.10 未満	4.5.0.10
WSO2	WSO2 API Manager	3.1.0 以上 3.1.0.321 未満 3.2.0 以上 3.2.0.414 未満 3.2.1 以上 3.2.1.50 未満 4.0.0 以上 4.0.0.335 未満 4.1.0 以上 4.1.0.211 未満 4.2.0 以上 4.2.0.150 未満ほか 3 件	3.1.0.321 3.2.0.414 3.2.1.50 4.0.0.335 4.1.0.211 4.2.0.150
WSO2	WSO2 API Control Plane	4.5.0 以上 4.5.0.11 未満	4.5.0.11
WSO2	WSO2 Identity Server	5.10.0 以上 5.10.0.346 未満 5.11.0 以上 5.11.0.396 未満 6.0.0 以上 6.0.0.232 未満 6.1.0 以上 6.1.0.224 未満 7.0.0 以上 7.0.0.93 未満	5.10.0.346 5.11.0.396 6.0.0.232 6.1.0.224 7.0.0.93
WSO2	WSO2 Open Banking AM	2.0.0 以上 2.0.0.370 未満	2.0.0.370
WSO2	WSO2 Open Banking IAM	2.0.0 以上 2.0.0.390 未満	2.0.0.390
WSO2	WSO2 Identity Server as Key Manager	5.10.0 以上 5.10.0.339 未満	5.10.0.339
WSO2	WSO2 Carbon OAuth	6.4.2 以上 6.4.2.155 未満 6.4.111 以上 6.4.111.134 未満 6.4.176 以上 6.4.176.25 未満 6.4.180 以上 6.4.180.11 未満 6.8.0 以上 6.8.0.49 未満 6.9.6 以上 6.9.6.22 未満ほか 5 件	6.4.2.155 6.4.111.134 6.4.176.25 6.4.180.11 6.8.0.49 6.9.6.22
WSO2	JWT Grant Type For OAuth2	1.0.26 以上 1.0.26.6 未満 1.0.26 以上 1.0.26.7 未満 1.0.31 以上 1.0.31.3 未満 1.1.0 以上 1.1.0.2 未満 2.0.4 以上 2.0.4.3 未満 2.1.1 以上 2.1.1.2 未満ほか 3 件	1.0.26.6 1.0.26.7 1.0.31.3 1.1.0.2 2.0.4.3 2.1.1.2

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

When utilizing JWT Bearer or SAML2 Bearer grant types, the system fails to validate the status of the Identity Provider (IDP) before issuing access tokens. This oversight permits tokens to be generated even when the associated IDP has been disabled.

A malicious actor could leverage this vulnerability to obtain access tokens by targeting a disabled IDP. This could enable them to bypass intended security controls and potentially access protected resources that should be inaccessible due to the IDP's disabled state.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

影響パッケージ

参照URL