CVE-2024-9517
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les produits d'identité WSO2 utilisent des jetons de renouvellement (refresh tokens) pour accorder de nouveaux jetons d'accès sans obliger l'utilisateur à se reconnecter. Une faille dans ce processus permet au système de délivrer de nouveaux jetons sans vérifier si le compte de l'utilisateur a été bloqué dans le magasin d'utilisateurs. Cela contourne concrètement les mécanismes de verrouillage de compte lors de la phase de renouvellement du jeton.
Un attaquant disposant d'un jeton de renouvellement valide peut maintenir un accès non autorisé à un compte bloqué, compromettant ainsi la confidentialité et l'intégrité des données de cet utilisateur. Cette attaque nécessite un accès réseau et des privilèges de bas niveau, bien que la complexité soit élevée car l'attaquant doit déjà posséder un jeton de renouvellement fonctionnel. Aucune interaction de l'utilisateur n'est requise pour exploiter la faille une fois le jeton obtenu.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The refresh token grant type in WSO2 products fails to re-validate account status before issuing new access tokens. This weakness allows an attacker to obtain valid access tokens for user accounts even after they have been blocked by the user store, bypassing account lockout mechanisms. This vulnerability can lead to unauthorized access to user accounts and their associated resources. Attackers can leverage this to perform actions on behalf of blocked users, potentially leading to privilege escalation or data exfiltration depending on the permissions of the compromised account.