CVE-2025-4760
Açıklama
WSO2 ürünlerinin birden fazlasında, Publisher portalında API belgesi yükleme sırasında kullanıcı tarafından sağlanan girdinin uygun şekilde doğrulanmaması nedeniyle kimliği doğrulanmış kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığı bulunmaktadır. Publisher ayrıcalıklarına sahip bir kullanıcı, kötü amaçlı JavaScript içeren özel olarak hazırlanmış bir API belgesi yükleyebilir ve bu belge daha sonra diğer kullanıcılar tarafından erişildiğinde tarayıcıda işlenir. Başarılı bir saldırı, kötü amaçlı web sitelerine yönlendirme, yetkisiz kullanıcı arayüzü değişiklikleri veya tarayıcı tarafından erişilebilen verilerin sızdırılmasıyla sonuçlanabilir. Ancak oturumla ilgili hassas çerezler httpOnly bayrağı ile korunduğundan oturum ele geçirme engellenmektedir.
Nasıl düzeltilir
- org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.api9.31.117 ya da sonraki bir sürüm
- org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.rest.api.publisher.v19.31.117 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 api_control_plane | 4.5.0 | — |
| wso2 api_manager | 3.2.0, 3.2.1, 4.1.0, 4.2.0, 4.3.0, 4.4.0, 4.5.0 | — |
| wso2 traffic_manager | 4.5.0 | — |
| wso2 universal_gateway | 4.5.0 | — |
| org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.apiMaven | v < 9.31.117 | 9.31.117 |
| org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.rest.api.publisher.v1Maven | v < 9.31.117 | 9.31.117 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.