CVE-2025-13736
Vulnérabilité faible dans WSO2 Identity Server as Key Manager (WSO2)
Description
When Multi-Attribute Login is enabled, the login interface fails to consistently mask the existence of user accounts. For valid users, the server resolves and displays their canonical username, while for non-existent users, it echoes the original input. This occurs regardless of the validate_username configuration. The discovery of valid usernames can increase the risk of brute force attacks, social engineering attacks, and targeted information leakage. Attackers can leverage this information to craft more effective phishing campaigns or social engineering tactics to compromise user accounts or extract sensitive data.
Gravité et risque d'exploitation
CVE-2025-13736 obtient un score CVSS de 3.7/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.27 %, ce qui la place devant 17.9 % des CVE référencées.
Que faire ?
- Vérifiez si WSO2 Identity Server as Key Manager (versions <3.1.0.351, 6.1.0, 4.0.0, 2.0.0, <5.10.0.371, <7.2.0.2, <2.0.0.420, 0, 3.2.0, 3.1.0, <3.2.0.455, 7.1.0, 5.10.0, <4.0.0.375, <7.0.0.132, <3.1.0, <6.0.0.254, 5.11.0, <5.10.0.380, 7.0.0, <7.1.0.40, <6.1.0.255, 7.2.0, <5.10.0, <2.0.0, 6.0.0, <5.11.0.427, <2.0.0.400) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.