VULNERABILIDAD
CVE-2025-0326 Revocación indebida de tokens en WSO2 Identity Server
El sistema no invalida los tokens de acceso existentes de usuarios de suborganizaciones durante operaciones sensibles como restablecimiento de contraseña, cambio de rol o deshabilitación de la suborganización. Esto permite acceso no autorizado si los tokens previamente emitidos siguen activos y fueron expuestos a actores maliciosos.
Alerta de Nureq Monitor
Detectada 21 OCT · 13:05
CVSS 3.1 · PRELIMINAR
—S/DPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,1 % PERCENTIL 3
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2025-0326
El sistema no invalida los tokens de acceso existentes de usuarios de suborganizaciones durante operaciones sensibles como restablecimiento de contraseña, cambio de rol o deshabilitación de la suborganización. Esto permite acceso no autorizado si los tokens previamente emitidos siguen activos y fueron expuestos a actores maliciosos.
Productos y versiones afectadas
WSO2 WSO2 Identity Server
WSO2 WSO2 Carbon OAuth
Qué hacer
- Verificá si usás WSO2 Identity Server y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Abrir la calculadora completa →
Descripción original
The system fails to invalidate existing access tokens associated with sub-organization users during sensitive account management operations such as password reset, role change, or sub-organization disablement. This oversight allows previously issued tokens to remain active even after the user's access context has been modified or revoked through administrative actions.
The identified issue could lead to unauthorized access by a malicious actor, but only when all of the following conditions are met: previously issued access tokens remain active, and these tokens have been exposed to malicious actors.
Referencias
- security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-202…VENDOR-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.