CVE-2024-4989

ŚrednieCVSS 5.4

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Parametr callback URL w WSO2 API Manager nie waliduje poprawnie danych wejściowych dostarczonych przez użytkownika, co pozwala na kontrolowanie go przez złośliwych aktorów. Wykorzystanie tej podatności może prowadzić do przekierowania użytkowników na strony kontrolowane przez atakującego, co w połączeniu z inżynierią społeczną może skutkować atakami phishingowymi.

Ocena ryzyka

Użytkownicy mogą zostać przekierowani na złośliwe strony, co może prowadzić do phishingu i wycieku poufnych informacji.

Rekomendacja

Zaktualizuj WSO2 API Manager do wersji zawierającej poprawkę lub wdroż walidację parametru callback URL.

Inne podatności w WSO2 API Manager

CVE-2025-9152Krytyczne
W WSO2 API Manager występuje podatność nieprawidłowego zarządzania uprawnieniami wynikająca z braku kontroli uwierzytelniania i autoryzacji w punkcie końcowym Dynamic Client Registration (DCR) keymanager-operations. Złośliwy użytkownik może wykorzystać tę lukę do generowania tokenów dostępu z podwyższonymi uprawnieniami, co może prowadzić do uzyskania dostępu administracyjnego.

Oryginalny opis (angielski, źródło NVD)

The callback URL parameter in WSO2 API Manager fails to validate user-supplied input, allowing it to be controlled by malicious actors. Exploitation of this vulnerability could lead to users being redirected to attacker-controlled web pages. This can be used in conjunction with social engineering techniques to trick users into interacting with malicious links, potentially resulting in phishing attacks aimed at acquiring sensitive information or causing other harm.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS