CVE-2025-9152

KrytyczneCVSS 9.8

Opublikowano: 16/10/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.71%

Percentyl 53 - wyżej niż 53% wszystkich znanych CVE

Streszczenie

W WSO2 API Manager występuje podatność nieprawidłowego zarządzania uprawnieniami wynikająca z braku kontroli uwierzytelniania i autoryzacji w punkcie końcowym Dynamic Client Registration (DCR) keymanager-operations. Złośliwy użytkownik może wykorzystać tę lukę do generowania tokenów dostępu z podwyższonymi uprawnieniami, co może prowadzić do uzyskania dostępu administracyjnego.

Ocena ryzyka

Możliwość wygenerowania tokenów z podwyższonymi uprawnieniami grozi przejęciem kontroli administracyjnej nad API Managerem i wykonywaniem nieautoryzowanych operacji.

Rekomendacja

Należy wdrożyć poprawki dostarczone przez producenta oraz zweryfikować i ograniczyć dostęp do punktu końcowego DCR keymanager-operations.

Inne podatności w WSO2 API Manager

CVE-2024-4989Średnie
Parametr callback URL w WSO2 API Manager nie waliduje poprawnie danych wejściowych dostarczonych przez użytkownika, co pozwala na kontrolowanie go przez złośliwych aktorów. Wykorzystanie tej podatności może prowadzić do przekierowania użytkowników na strony kontrolowane przez atakującego, co w połączeniu z inżynierią społeczną może skutkować atakami phishingowymi.

Oryginalny opis (angielski, źródło NVD)

An improper privilege management vulnerability exists in WSO2 API Manager due to missing authentication and authorization checks in the keymanager-operations Dynamic Client Registration (DCR) endpoint. A malicious user can exploit this flaw to generate access tokens with elevated privileges, potentially leading to administrative access and the ability to perform unauthorized operations.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS