Когда внутренние роли удаляются у пользователя в продукте WSO2, система не может аннулировать ранее выданные токены аутентификации, связанные с этим пользователем. Эта уязвимость может позволить пользователям сохранить свои предыдущие права доступа даже после отзыва их ролей. В результате пользователь может продолжать выполнять несанкционированные действия или получать доступ к ограниченным ресурсам до тех пор, пока срок действия токенов с истекшим сроком действия не истечет естественным образом.
Показать оригинальное описание (EN)
When internal roles are removed from a user within the WSO2 product, the system fails to invalidate any previously issued authentication tokens associated with that user. This vulnerability could allow users to retain their previous access privileges even after their roles have been revoked. As a result, a user can continue to perform unauthorized actions or access restricted resources until the expired tokens naturally expire.
Характеристики атаки
Последствия
Строка CVSS v3.1