CVE-2025-6670
Təsvir
Admin xidmətləri daxilindəki vəziyyət dəyişdirici əməliyyatlar üçün, xüsusilə Carbon konsolunun hadisə prosessoru (event processor) hissəsində HTTP GET metodundan istifadə edildiyi üçün bir çox WSO2 məhsullarında Saytlararası Sorğu Saxtalaşdırılması (CSRF) zəifliyi mövcuddur. Təhlükəsizlik tədbiri kimi SameSite=Lax kukilər atributu istifadə olunsa da, bu kontekstdə effektiv deyil, çünki o, GET sorğuları vasitəsilə çarpaz mənşəli yuxarı səviyyəli naviqasiyalar zamanı kukilərin göndərilməsinə icazə verir. Bədniyyətli şəxs autentifikasiya olunmuş istifadəçini xüsusi hazırlanmış linkə daxil olmağa vadar etməklə bu zəiflikdən istifadə edə bilər ki, bu da brauzerin istəmədən vəziyyət dəyişdirici sorğular göndərməsinə səbəb olar. Uğurlu istismar məlumatların dəyişdirilməsi, hesab dəyişiklikləri və ya digər inzibati hərəkətlər kimi icazəsiz əməliyyatlarla nəticələnə bilər. WSO2 Secure Production Guidelines sənədinə əsasən, Carbon konsolu xidmətlərinin etibarsız şəbəkələrə açılması tövsiyə edilmir ki, bu da düzgün şəkildə təmin edilmiş tətbiqlərdə təsirin azalmasına kömək edə bilər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wso2 api_control_plane | 4.5.0, 4.6.0 | — |
| wso2 api_manager | 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0, 4.4.0, 4.5.0, 4.6.0 | — |
| wso2 enterprise_integrator | 6.6.0 | — |
| wso2 identity_server | 5.10.0, 5.11.0, 6.0.0, 6.1.0, 7.0.0, 7.1.0, 7.2.0 | — |
| wso2 identity_server_as_key_manager | 5.10.0 | — |
| wso2 open_banking_am | 2.0.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| wso2 traffic_manager | 4.5.0, 4.6.0 | — |
| wso2 universal_gateway | 4.5.0, 4.6.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.