CVE-2025-13591— WSO2 Identity Server 用户枚举漏洞
一分钟漏洞结论
影响对象
WSO2 WSO2 Identity Server
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
WSO2 Identity Server 的身份验证端点在系统中不存在指定用户名时，无法提供一致的系统响应，导致攻击者能够区分有效与无效的用户名。这种响应差异可被利用来枚举系统中已存在的用户账户。 成功利用该漏洞后，攻击者能够发现系统内的有效用户名，从而显著增加后续攻击的风险，例如针对用户凭证的暴力破解攻击、社会工程学攻击以及信息泄露。获取到的用户名可被用于构建定向钓鱼邮件或其他社会工程学攻击活动。
影响版本矩阵 7
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| WSO2 | Email OTP Authenticator | 1.0.18< 1.0.18.8 |
affected |
1.0.30< 1.0.30.5 |
affected | ||
| WSO2 | WSO2 Carbon Abstract OTP Authenticator | 1.0.5< 1.0.5.3 |
affected |
1.0.10< 1.0.10.2 |
affected | ||
| WSO2 | WSO2 Identity Server | < 7.0.0 |
unknown |
7.0.0< 7.0.0.134 |
affected | ||
7.1.0< 7.1.0.42 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2025-13591 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Username Enumeration via Authentication Endpoint in WSO2 Identity Server Allows User Account Discovery
来源: CVE Program / CVE List V5
Vulnerability Description
The authentication endpoint of WSO2 Identity Server fails to provide a consistent system response when a username does not exist in the system, allowing attackers to differentiate between valid and invalid usernames. This difference in responses can be leveraged to enumerate existing user accounts.
Successful exploitation enables an attacker to discover valid usernames within the system, significantly increasing the risk of subsequent attacks such as brute force attacks on user credentials, social engineering attacks, and information leakage. The discovered usernames can be used to craft targeted phishing emails or other social engineering campaigns.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过差异性导致的信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| WSO2 | WSO2 Identity Server | 7.0.0 ~ 7.0.0.134 | - |
|
| WSO2 | WSO2 Carbon Abstract OTP Authenticator | 1.0.5 ~ 1.0.5.3 | - |
|
| WSO2 | Email OTP Authenticator | 1.0.18 ~ 1.0.18.8 | - |
|
二、漏洞 CVE-2025-13591 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2025-13591 的情报信息
请登录查看更多情报信息。
CVE-2025-13591 厂商安全公告 (1)
同批安全公告 · WSO2 · 2026-10-19 · 共 7 条
| CVE-2025-10149 | 8.2 HIGH | WSO2多产品SCIM端点任意操作致账户接管漏洞 |
| CVE-2025-13173 | 6.5 MEDIUM | WSO2 多产品会话绑定令牌撤销不当漏洞 |
| CVE-2025-7043 | 5.4 MEDIUM | WSO2 多产品刷新令牌验证缺陷致资源滥用漏洞 |
| CVE-2025-7203 | 4.9 MEDIUM | WSO2 多产品管理控制台敏感信息泄露漏洞 |
| CVE-2025-6623 | 4.3 MEDIUM | 多款 WSO2 产品 XML 输入存储型跨站脚本漏洞 |
| CVE-2024-4412 | 2.7 LOW | WSO2 多产品用户输入表达式语言注入漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2025-13591
暂无评论