CVE-2025-5770
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W wielu produktach WSO2 występuje luka typu reflected cross-site scripting (XSS) w punktach końcowych uwierzytelniania z powodu braku kodowania danych wyjściowych. Złośliwy aktor może wstrzyknąć dowolne ładunki JavaScript do punktu końcowego uwierzytelniania, które są odzwierciedlane w odpowiedzi, umożliwiając ataki oparte na przeglądarce. Wykorzystanie może skutkować przekierowaniem na złośliwe witryny, manipulacją interfejsem lub nieautoryzowanym dostępem do danych z przeglądarki ofiary; jednak pliki cookie sesji są chronione flagą httpOnly, co ogranicza przejęcie sesji tą drogą.
Ocena ryzyka
Reflected XSS może pozwolić atakującemu na wykonanie złośliwego kodu w przeglądarce ofiary, co może prowadzić do przekierowania na złośliwe strony, manipulacji interfejsem lub kradzieży danych. Mimo ochrony httpOnly dla plików cookie sesji, inne dane mogą być zagrożone.
Rekomendacja
Zaktualizuj produkty WSO2 do wersji zawierających poprawkę tej podatności. Dodatkowo wdróż mechanizmy ochrony przed XSS, takie jak walidacja danych wejściowych i kodowanie danych wyjściowych.
Inne podatności w WSO2
Zobacz wszystkie- CVE-2024-9517Średnie
W produktach WSO2 mechanizm odświeżania tokenów (refresh token grant type) nie weryfikuje ponownie statusu konta przed wydaniem nowego tokenu dostępu. Pozwala to atakującemu uzyskać ważne tokeny dostępu dla kont użytkowników nawet po ich zablokowaniu w user store, omijając mechanizmy blokady konta.
- CVE-2024-4457Krytyczne
Konsola zarządzania nieprawidłowo waliduje dane wejściowe związane z konfiguracją magazynów użytkowników JDBC. Słabość ta pozwala atakującemu dostarczyć specjalnie spreparowane dane wejściowe, które mogą prowadzić do wykonania dowolnego kodu na dotkniętym serwerze. Skuteczne wykorzystanie umożliwia atakującemu wykonanie dowolnego kodu z uprawnieniami produktu WSO2, co może doprowadzić do pełnego przejęcia systemu.
- CVE-2025-9312Krytyczne
Brak wymuszenia uwierzytelniania w implementacji wzajemnego TLS (mTLS) używanej przez System REST APIs i usługi SOAP w wielu produktach WSO2. Z powodu nieprawidłowej walidacji uwierzytelniania opartego na certyfikatach klienta w niektórych domyślnych konfiguracjach, zaatakowane komponenty mogą zezwalać na nieuwierzytelnione żądania nawet przy włączonym mTLS. Udane wykorzystanie pozwala atakującemu z dostępem sieciowym do zaatakowanych punktów końcowych uzyskać uprawnienia administracyjne i wykonywać nieautoryzowane operacje.
- CVE-2025-14260Wysokie
Z powodu nieprawidłowej implementacji reguł kontroli dostępu produkt WSO2 przyjmuje dane wejściowe użytkownika dotyczące lokalizacji zasobu bez wymaganych ograniczeń walidacji. Nieuwierzytelniony atakujący może zmusić serwer do wykonywania żądań do dowolnych lokalizacji sieciowych, uzyskując dostęp do zasobów wewnętrznych i zewnętrznych.
- CVE-2024-7478Średnie
Produkt WSO2 skonfigurowany do korzystania z zewnętrznego magazynu użytkowników nie odpowiednio ukrywa istnienia lub ważności nazw użytkowników podczas prób uwierzytelniania. To pozwala atakującemu na wielokrotne odpytywanie mechanizmu uwierzytelniania z różnymi zgadywanymi nazwami użytkowników, umożliwiając enumerację ważnych nazw użytkowników w zewnętrznym magazynie.
- CVE-2025-12317Średnie
W produktach WSO2, po usunięciu ról wewnętrznych użytkownika, system nie unieważnia wcześniej wydanych tokenów uwierzytelniających. Użytkownik może zachować dotychczasowe uprawnienia nawet po ich odebraniu.
- CVE-2024-6541Średnie
Class Mediator w produktach WSO2 nie waliduje ani nie sanityzuje właściwości messageContext używanych do dynamicznych wartości. Uwierzytelnieni użytkownicy mogą uzyskać dostęp do danych innych użytkowników lub modyfikować dane systemowe.
- CVE-2026-0637Średnie
Gdy adapter wyjściowy Event Publisher jest skonfigurowany z nieistotnymi właściwościami, produkty logują te właściwości bez odpowiedniej walidacji lub sanityzacji wartości. Osoba z dostępem do plików logów 'wso2carbon' może uzyskać wrażliwe informacje, takie jak dane uwierzytelniające, co może prowadzić do nieautoryzowanego dostępu.
- CVE-2025-13909Średnie
System akceptuje żądania uwierzytelniania bez wystarczającej walidacji, aby wymusić izolację dzierżawców (tenant isolation) przy użyciu Email OTP, SMS OTP lub Magic Link jako pierwszego czynnika. Może to prowadzić do ujawnienia danych osobowych użytkowników w różnych dzierżawcach.
- CVE-2025-11850Średnie
Gdy skonfigurowane są dodatkowe magazyny użytkowników, resolver niejawnych skojarzeń nieprawidłowo inicjalizuje z dodatkowego magazynu i pomija główny magazyn podczas wyszukiwania i sprawdzania unikalności. Może to prowadzić do skojarzenia podmiotu z niezamierzonym kontem lokalnym, jeśli ten sam atrybut (np. nazwa użytkownika) istnieje w obu magazynach.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability exists in the authentication endpoints of multiple WSO2 products due to a lack of output encoding. A malicious actor can inject arbitrary JavaScript payloads into the authentication endpoint, which are reflected back in the response, enabling browser-based attacks. Exploitation may result in redirection to malicious websites, UI manipulation, or unauthorized data access from the victim’s browser. However, session-related cookies are protected with the httpOnly flag, which mitigates session hijacking via this vector.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS