CVE-2025-5717
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W wielu produktach WSO2 występuje uwierzytelniona podatność zdalnego wykonania kodu (RCE) wynikająca z niewłaściwej walidacji danych wejściowych w usłudze administracyjnej procesora zdarzeń. Użytkownik z uprawnieniami administracyjnymi do usług SOAP może wdrożyć plan wykonania Siddhi zawierający złośliwy kod Java, co prowadzi do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Złośliwy administrator może wykonać dowolny kod, przejmując kontrolę nad serwerem, co może prowadzić do pełnego naruszenia systemu.
Rekomendacja
Ogranicz uprawnienia administracyjne do niezbędnego minimum i wdróż dostępne poprawki lub aktualizacje produktów WSO2.
Inne podatności w WSO2 products
Zobacz wszystkie- CVE-2026-1728Krytyczne
Tokeny wydawane użytkownikowi z niskimi uprawnieniami nie są wystarczająco ograniczone, co pozwala na ich użycie do dostępu do administracyjnych API REST produktu. Niskouprzywilejowany użytkownik może wywołać API REST administracyjne produktów WSO2.
- CVE-2025-9804Krytyczne
W wielu produktach WSO2 występuje nieprawidłowa kontrola dostępu wynikająca z niewystarczającego egzekwowania uprawnień w niektórych wewnętrznych usługach SOAP Admin Services i System REST API. Użytkownik o niskich uprawnieniach może wykonać nieautoryzowane operacje, w tym uzyskać dostęp do informacji na poziomie serwera.
- CVE-2022-29464KrytyczneAktywnie exploitowane
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
- CVE-2025-14260Wysokie
W produktach WSO2 występuje nieprawidłowa implementacja reguł kontroli dostępu, co umożliwia atak Server Side Request Forgery (SSRF). Exploitacja pozwala atakującemu uzyskać dostęp do zasobów wewnętrznych i zewnętrznych dostępnych przez sieć lub system plików.
- CVE-2025-0663Średnie
W wielu produktach WSO2 występuje podatność cross-tenant authentication wynikająca z niewłaściwego projektu kryptograficznego w Adaptive Authentication. Pojedynczy klucz kryptograficzny używany do podpisywania ciasteczek uwierzytelniających we wszystkich tenantach pozwala uprzywilejowanemu użytkownikowi jednego tenanta sfałszować ciasteczka dla użytkowników innych tenantów.
Oryginalny opis (angielski, źródło NVD)
An authenticated remote code execution (RCE) vulnerability exists in multiple WSO2 products due to improper input validation in the event processor admin service. A user with administrative access to the SOAP admin services can exploit this flaw by deploying a Siddhi execution plan containing malicious Java code, resulting in arbitrary code execution on the server. Exploitation of this vulnerability requires a valid user account with administrative privileges, limiting the attack surface to authenticated but potentially malicious users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS