CVE-2025-6508

ŚrednieCVSS 4.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 29/09/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Konsola Try-out Swagger UI w dokumentacji API Publisher umożliwia załadowanie zewnętrznego adresu URL definicji API Swagger, nadpisując istniejące definicje API w portalu Publisher. Wykorzystując tę podatność, złośliwi aktorzy mogą oszukać użytkowników, aby wchodzili w interakcje z tymi nadpisanymi definicjami API, co może prowadzić do ujawnienia wrażliwych informacji lub inicjowania niepożądanych żądań do usług zaplecza.

Ocena ryzyka

Użytkownicy mogą zostać oszukani do interakcji z fałszywymi definicjami API, co prowadzi do wycieku danych lub nieautoryzowanych działań w systemach zaplecza.

Rekomendacja

Zaktualizuj API Publisher do wersji, która uniemożliwia ładowanie zewnętrznych definicji API w konsoli Try-out, lub ogranicz dostęp do tej funkcji.

Inne podatności w API Publisher

CVE-2026-3416Średnie
Komponent API Publisher używał niekryptograficznego generatora liczb pseudolosowych (PRNG) do tworzenia wspólnych sekretów dla walidacji HMAC webhooków. Ten PRNG nie ma wystarczającej entropii dla operacji wrażliwych na bezpieczeństwo, co pozwala zaawansowanemu atakującemu przewidzieć przyszłe sekrety. Umożliwia to fałszowanie ładunków zdarzeń z prawidłowymi podpisami HMAC, omijając weryfikację autentyczności API Gateway.

Oryginalny opis (angielski, źródło NVD)

The Swagger UI Try-out console within the API Publisher documentation allows an external Swagger API definition URL to be loaded, overriding the existing API definitions within the Publisher portal. By exploiting this vulnerability, malicious actors can deceive users into interacting with these overwritten API definitions. This could lead to the exposure of sensitive information or the initiation of unintended requests to backend services.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS