Podatności WSO2 products
6 znanych podatności CVE w WSO2 products, przetłumaczonych i ocenionych.
- CVE-2026-1728Krytyczne
Tokeny wydawane użytkownikowi z niskimi uprawnieniami nie są wystarczająco ograniczone, co pozwala na ich użycie do dostępu do administracyjnych API REST produktu. Niskouprzywilejowany użytkownik może wywołać API REST administracyjne produktów WSO2.
- CVE-2025-9804Krytyczne
W wielu produktach WSO2 występuje nieprawidłowa kontrola dostępu wynikająca z niewystarczającego egzekwowania uprawnień w niektórych wewnętrznych usługach SOAP Admin Services i System REST API. Użytkownik o niskich uprawnieniach może wykonać nieautoryzowane operacje, w tym uzyskać dostęp do informacji na poziomie serwera.
- CVE-2022-29464KrytyczneAktywnie exploitowane
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
- CVE-2025-14260Wysokie
W produktach WSO2 występuje nieprawidłowa implementacja reguł kontroli dostępu, co umożliwia atak Server Side Request Forgery (SSRF). Exploitacja pozwala atakującemu uzyskać dostęp do zasobów wewnętrznych i zewnętrznych dostępnych przez sieć lub system plików.
- CVE-2025-0663Średnie
W wielu produktach WSO2 występuje podatność cross-tenant authentication wynikająca z niewłaściwego projektu kryptograficznego w Adaptive Authentication. Pojedynczy klucz kryptograficzny używany do podpisywania ciasteczek uwierzytelniających we wszystkich tenantach pozwala uprzywilejowanemu użytkownikowi jednego tenanta sfałszować ciasteczka dla użytkowników innych tenantów.
- CVE-2025-5717Średnie
W wielu produktach WSO2 występuje uwierzytelniona podatność zdalnego wykonania kodu (RCE) wynikająca z niewłaściwej walidacji danych wejściowych w usłudze administracyjnej procesora zdarzeń. Użytkownik z uprawnieniami administracyjnymi do usług SOAP może wdrożyć plan wykonania Siddhi zawierający złośliwy kod Java, co prowadzi do wykonania dowolnego kodu na serwerze.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS