WSO2 Identity Server Apps allows content spoofing in logs
A content spoofing issue exists in WSO2 Identity Server Apps, specifically in the Authentication Portal, due to improper handling of authentication error messages. When an authentication failure occurs, the portal previously accepted an authFailureMsg value supplied via URL and rendered it in the UI without validating it against the resource bundle. An attacker can craft a link that causes the portal to display attacker-controlled text in the error banner, enabling UI misrepresentation and social-engineering.
The fix validates the message key against the resource bundle and encodes input before rendering. Upgrade to org.wso2.identity.apps:authentication-portal 2.4.4 or later to remediate.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | org.wso2.identity.apps:authentication-portal | < 2.4.4 | 2.4.4 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2024-6429
- https://github.com/wso2/identity-apps/pull/6488
- https://github.com/wso2/identity-apps/commit/75babf6b60f940f86bada7020e5d464ca95e47f2
- https://github.com/wso2/identity-apps
- https://github.com/wso2/identity-apps/releases/tag/@wso2is/identity-apps-core@2.4.4
- https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2024-3490
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N- Debilidad (CWE)
CWE-451- Plataforma
- Java / Kotlin (Maven)
- Paquete
org.wso2.identity.apps:authentication-portal- Publicada
- 23.09.2025
- Actualizado
- 11.10.2026 13:20
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-r6f3-55wj-g9p3 - CC BY 4.0
Historial de vulnerabilidades: org.wso2.identity.apps:authentication-portal
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 12.2023 09.2025
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 1
- Media 1
Divulgaciones por año
- 2023: 1
- 2024: 0
- 2025: 1
- 2026: 0
-
WSO2 Identity Server Apps allows content spoofing in logs esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.