‹ Volver al listado

CVE-2025-13591

Estado: Pendiente de análisisMedia (5.3)—
Gravedad5.3Media · CVSS 3.1
Probabilidad de explotación0.22 %mayor que el 12 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

El endpoint de autenticación de WSO2 Identity Server no proporciona una respuesta uniforme del sistema cuando un nombre de usuario no existe en el sistema, lo que permite a los atacantes distinguir entre nombres de usuario válidos e inválidos. Esta diferencia en las respuestas puede aprovecharse para enumerar cuentas de usuario existentes.

La explotación con éxito permite a un atacante descubrir nombres de usuario válidos dentro del sistema, lo que aumenta considerablemente el riesgo de ataques posteriores, como ataques de fuerza bruta contra las credenciales de los usuarios, ataques de ingeniería social y fuga de información. Los nombres de usuario descubiertos pueden utilizarse para elaborar correos de phishing dirigidos u otras campañas de ingeniería social.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.3
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.22 %
Percentil entre todas las CVEs puntuadas
12
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El endpoint de autenticación responde distinto según exista o no el usuario (CWE-203), permitiendo enumerar cuentas válidas sin privilegios por red (AV:N/PR:N/UI:N).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningUser Account ManagementPrivileged Account ManagementOperating System ConfigurationNetwork SegmentationLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Wso2 — Identity ServerAI

CWE

Referencias

Mostrar las 1 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-13591",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "ed10eef1-636d-4fbe-9993-6890dfa878f8",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "ed10eef1-636d-4fbe-9993-6890dfa878f8",
      "affectedData": [
        {
          "vendor": "WSO2",
          "product": "WSO2 Identity Server",
          "versions": [
            {
              "status": "unknown",
              "version": "0",
              "lessThan": "7.0.0",
              "versionType": "custom"
            },
            {
              "status": "affected",
              "version": "7.0.0",
              "lessThan": "7.0.0.134",
              "versionType": "custom"
            },
            {
              "status": "affected",
              "version": "7.1.0",
              "lessThan": "7.1.0.42",
              "versionType": "custom"
            }
          ],
          "defaultStatus": "unaffected"
        },
        {
          "vendor": "WSO2",
          "product": "WSO2 Carbon Abstract OTP Authenticator",
          "versions": [
            {
              "status": "affected",
              "version": "1.0.5",
              "lessThan": "1.0.5.3",
              "versionType": "custom"
            },
            {
              "status": "affected",
              "version": "1.0.10",
              "lessThan": "1.0.10.2",
              "versionType": "custom"
            }
          ],
          "packageName": "org.wso2.carbon.identity.auth.otp.commons:org.wso2.carbon.identity.auth.otp.core",
          "defaultStatus": "unknown"
        },
        {
          "vendor": "WSO2",
          "product": "Email OTP Authenticator",
          "versions": [
            {
              "status": "affected",
              "version": "1.0.18",
              "lessThan": "1.0.18.8",
              "versionType": "custom"
            },
            {
              "status": "affected",
              "version": "1.0.30",
              "lessThan": "1.0.30.5",
              "versionType": "custom"
            }
          ],
          "packageName": "org.wso2.carbon.identity.local.auth.emailotp:org.wso2.carbon.identity.local.auth.emailotp",
          "defaultStatus": "unknown"
        }
      ]
    }
  ],
  "published": "2026-10-19T17:16:59.413",
  "references": [
    {
      "url": "https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2025-4583/",
      "source": "ed10eef1-636d-4fbe-9993-6890dfa878f8"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "ed10eef1-636d-4fbe-9993-6890dfa878f8",
      "description": [
        {
          "lang": "en",
          "value": "CWE-203"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The authentication endpoint of WSO2 Identity Server fails to provide a consistent system response when a username does not exist in the system, allowing attackers to differentiate between valid and invalid usernames. This difference in responses can be leveraged to enumerate existing user accounts.\n\nSuccessful exploitation enables an attacker to discover valid usernames within the system, significantly increasing the risk of subsequent attacks such as brute force attacks on user credentials, social engineering attacks, and information leakage. The discovered usernames can be used to craft targeted phishing emails or other social engineering campaigns."
    }
  ],
  "lastModified": "2026-10-19T21:06:28.507",
  "sourceIdentifier": "ed10eef1-636d-4fbe-9993-6890dfa878f8"
}