FICHE CVE
CVE-2025-59363
Publiée le 2025-09-14 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
Les installations de One Identity OneLogin antérieures à la version 2025.3.0 exposent par erreur des secrets clients OIDC via l'API Apps v2. Un utilisateur authentifié disposant de privilèges de bas niveau peut envoyer une simple requête réseau pour récupérer ces secrets, ce qui pourrait lui permettre d'usurper l'identité d'applications ou d'accéder à des données protégées. Aucune interaction particulière de l'utilisateur n'est requise pour déclencher cette fuite.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisFaibles
Interaction utilisateurAucune
PortéeModifiée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéAucun
Impact sur la disponibilitéAucun
RÉFÉRENCES
Description officielle du NVD (en anglais)
In One Identity OneLogin before 2025.3.0, a request returns the OIDC client secret with GET Apps API v2 (even though this secret should only be returned when an App is first created),