CVE-2025-13909
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2025
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Information Disclosure via Multi-Tenant Authentication Flows in WSO2 Identity Server Allows Cross-Tenant PII Exposure
The system accepts authentication requests without sufficient validation to enforce tenant isolation when using Email OTP, SMS OTP, or Magic Link as first-factor authenticators. This failure to adequately separate user data between tenants can lead to the exposure of personally identifiable information. Successful exploitation allows an attacker to disclose personally identifiable information of users in different tenants, resulting in privacy violations and potential regulatory non-compliance. This may include unauthorized access to user details such as mobile numbers.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
WSO2 Identity Server
- Fornecedor
- WSO2
- Produto
- WSO2 Identity Server
- Plataformas
- Desconhecido
- Status padrão
unaffected
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 7.0.0 | affected | custom | 7.0.0.134 | Indisponível | Nenhuma listada |
| 7.1.0 | affected | custom | 7.1.0.42 | Indisponível | Nenhuma listada |
WSO2 Carbon Identity Application Authentication Framework
- Fornecedor
- WSO2
- Produto
- WSO2 Carbon Identity Application Authentication Framework
- Plataformas
- Desconhecido
- Status padrão
unknown- Pacote
- org.wso2.carbon.identity.framework:org.wso2.carbon.identity.application.authentication.framework
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 7.0.78 | affected | custom | 7.0.78.162 | Indisponível | Nenhuma listada |
| 7.8.23 | affected | custom | 7.8.23.66 | Indisponível | Nenhuma listada |
| 7.8.550 | unaffected | custom | Indisponível | * | Nenhuma listada |
WSO2 Carbon MagicLink Authenticator Module
- Fornecedor
- WSO2
- Produto
- WSO2 Carbon MagicLink Authenticator Module
- Plataformas
- Desconhecido
- Status padrão
unknown- Pacote
- org.wso2.carbon.identity.local.auth.magiclink:org.wso2.carbon.identity.application.authenticator.magiclink
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 1.1.22 | affected | custom | 1.1.22.6 | Indisponível | Nenhuma listada |
| 1.1.31 | affected | custom | 1.1.31.3 | Indisponível | Nenhuma listada |
| 1.1.45 | unaffected | custom | Indisponível | * | Nenhuma listada |
WSO2 Carbon Abstract OTP Authenticator
- Fornecedor
- WSO2
- Produto
- WSO2 Carbon Abstract OTP Authenticator
- Plataformas
- Desconhecido
- Status padrão
unknown- Pacote
- org.wso2.carbon.identity.auth.otp.commons:org.wso2.carbon.identity.auth.otp.core
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 1.0.5 | affected | custom | 1.0.5.4 | Indisponível | Nenhuma listada |
| 1.0.10 | affected | custom | 1.0.10.1 | Indisponível | Nenhuma listada |
| 1.0.24 | unaffected | custom | Indisponível | * | Nenhuma listada |
Email OTP Authenticator
- Fornecedor
- WSO2
- Produto
- Email OTP Authenticator
- Plataformas
- Desconhecido
- Status padrão
unknown- Pacote
- org.wso2.carbon.identity.local.auth.emailotp:org.wso2.carbon.identity.local.auth.emailotp
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 1.0.30 | affected | custom | 1.0.30.4 | Indisponível | Nenhuma listada |
| 1.0.51 | unaffected | custom | Indisponível | * | Nenhuma listada |