CVE-2026-1728
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Tokeny wydawane użytkownikowi z niskimi uprawnieniami nie są wystarczająco ograniczone, co pozwala na ich użycie do dostępu do administracyjnych API REST produktu. Niskouprzywilejowany użytkownik może wywołać API REST administracyjne produktów WSO2.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do pełnego przejęcia konta administracyjnego. Atak wymaga posiadania konta z niskimi uprawnieniami i uzyskania ważnego tokena dla tego konta.
Rekomendacja
Należy ograniczyć uprawnienia tokenów dla użytkowników z niskimi uprawnieniami, aby nie mogły one uzyskać dostępu do API administracyjnych. Zaleca się wdrożenie odpowiednich kontroli dostępu.
Inne podatności w WSO2 products
Zobacz wszystkie- CVE-2025-9804Krytyczne
W wielu produktach WSO2 występuje nieprawidłowa kontrola dostępu wynikająca z niewystarczającego egzekwowania uprawnień w niektórych wewnętrznych usługach SOAP Admin Services i System REST API. Użytkownik o niskich uprawnieniach może wykonać nieautoryzowane operacje, w tym uzyskać dostęp do informacji na poziomie serwera.
- CVE-2022-29464KrytyczneAktywnie exploitowane
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
- CVE-2025-14260Wysokie
W produktach WSO2 występuje nieprawidłowa implementacja reguł kontroli dostępu, co umożliwia atak Server Side Request Forgery (SSRF). Exploitacja pozwala atakującemu uzyskać dostęp do zasobów wewnętrznych i zewnętrznych dostępnych przez sieć lub system plików.
- CVE-2025-0663Średnie
W wielu produktach WSO2 występuje podatność cross-tenant authentication wynikająca z niewłaściwego projektu kryptograficznego w Adaptive Authentication. Pojedynczy klucz kryptograficzny używany do podpisywania ciasteczek uwierzytelniających we wszystkich tenantach pozwala uprzywilejowanemu użytkownikowi jednego tenanta sfałszować ciasteczka dla użytkowników innych tenantów.
- CVE-2025-5717Średnie
W wielu produktach WSO2 występuje uwierzytelniona podatność zdalnego wykonania kodu (RCE) wynikająca z niewłaściwej walidacji danych wejściowych w usłudze administracyjnej procesora zdarzeń. Użytkownik z uprawnieniami administracyjnymi do usług SOAP może wdrożyć plan wykonania Siddhi zawierający złośliwy kod Java, co prowadzi do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Tokens issued to a low-privileged user are not sufficiently restricted, allowing them to be used to access product-level Admin REST APIs. Exploitation of this vulnerability allows a low-privileged user to invoke the Admin REST APIs of WSO2 products, potentially leading to full administrative account takeover. This requires the attacker to already possess a low-privileged user account and be able to obtain a valid token for it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS