CVE-2025-0663
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W wielu produktach WSO2 występuje podatność cross-tenant authentication wynikająca z niewłaściwego projektu kryptograficznego w Adaptive Authentication. Pojedynczy klucz kryptograficzny używany do podpisywania ciasteczek uwierzytelniających we wszystkich tenantach pozwala uprzywilejowanemu użytkownikowi jednego tenanta sfałszować ciasteczka dla użytkowników innych tenantów.
Ocena ryzyka
Ponieważ funkcja Auto-Login jest domyślnie włączona, atakujący może uzyskać nieautoryzowany dostęp i przejąć konta w innych tenantach. Wykorzystanie wymaga dostępu do funkcji Adaptive Authentication, zwykle ograniczonej do wysoko uprzywilejowanych użytkowników.
Rekomendacja
Zastosuj poprawkę producenta i wyłącz funkcję Auto-Login, jeśli nie jest wymagana. Ogranicz dostęp do funkcji Adaptive Authentication do niezbędnego minimum.
Inne podatności w WSO2 products
Zobacz wszystkie- CVE-2026-1728Krytyczne
Tokeny wydawane użytkownikowi z niskimi uprawnieniami nie są wystarczająco ograniczone, co pozwala na ich użycie do dostępu do administracyjnych API REST produktu. Niskouprzywilejowany użytkownik może wywołać API REST administracyjne produktów WSO2.
- CVE-2025-9804Krytyczne
W wielu produktach WSO2 występuje nieprawidłowa kontrola dostępu wynikająca z niewystarczającego egzekwowania uprawnień w niektórych wewnętrznych usługach SOAP Admin Services i System REST API. Użytkownik o niskich uprawnieniach może wykonać nieautoryzowane operacje, w tym uzyskać dostęp do informacji na poziomie serwera.
- CVE-2022-29464KrytyczneAktywnie exploitowane
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
- CVE-2025-14260Wysokie
W produktach WSO2 występuje nieprawidłowa implementacja reguł kontroli dostępu, co umożliwia atak Server Side Request Forgery (SSRF). Exploitacja pozwala atakującemu uzyskać dostęp do zasobów wewnętrznych i zewnętrznych dostępnych przez sieć lub system plików.
- CVE-2025-5717Średnie
W wielu produktach WSO2 występuje uwierzytelniona podatność zdalnego wykonania kodu (RCE) wynikająca z niewłaściwej walidacji danych wejściowych w usłudze administracyjnej procesora zdarzeń. Użytkownik z uprawnieniami administracyjnymi do usług SOAP może wdrożyć plan wykonania Siddhi zawierający złośliwy kod Java, co prowadzi do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
A cross-tenant authentication vulnerability exists in multiple WSO2 products due to improper cryptographic design in Adaptive Authentication. A single cryptographic key is used across all tenants to sign authentication cookies, allowing a privileged user in one tenant to forge authentication cookies for users in other tenants. Because the Auto-Login feature is enabled by default, this flaw may allow an attacker to gain unauthorized access and potentially take over accounts in other tenants. Successful exploitation requires access to Adaptive Authentication functionality, which is typically restricted to high-privileged users. The vulnerability is only exploitable when Auto-Login is enabled, reducing its practical impact in deployments where the feature is disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS