Vulnerabilidad en Identity Server y API Manager de WSO2 (CVE-2025-13475)
Gravedad CVSS v3.1:
BAJA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
04/07/2026
Última modificación:
06/10/2026
Descripción
En despliegues multi-inquilino, el mecanismo de gestión de consentimiento de aplicaciones no logra aislar correctamente los ámbitos de consentimiento entre inquilinos. El consentimiento otorgado por un usuario para una aplicación SaaS específica dentro de un inquilino puede aplicarse incorrectamente a aplicaciones SaaS con el mismo nombre en otros inquilinos, lo que lleva a una compartición de consentimiento trans-inquilino no intencionada.<br />
<br />
Esta vulnerabilidad puede resultar en la exposición de datos de usuario entre inquilinos, permitiendo que las aplicaciones SaaS en diferentes inquilinos accedan y modifiquen información sin autorización explícita del usuario. Esto puede llevar a acceso no autorizado a datos y violaciones de privacidad. Esta vulnerabilidad no tiene impacto si el despliegue no soporta multi-inquilino.
Impacto
Puntuación base 3.x
3.50
Gravedad 3.x
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.2.0 (incluyendo) | 3.2.0.457 (excluyendo) |
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.2.1 (incluyendo) | 3.2.1.76 (excluyendo) |
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 5.10.0 (incluyendo) | 5.10.0.382 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página