CVE-2026-3415
Açıklama
SchemaValidator Mediator içindeki XML ve şema doğrulama işlevleri, doğrulama akışlarının bir parçası olarak XML girdilerini işler. Belirli koşullar altında XML ayrıştırıcısı, doğrulama işlemleri sırasında kullanıcı tarafından sağlanan XML içeriğini işlerken harici varlıkların çözümlenmesine izin verir. Bu durum, yeterli yetkilere sahip bir saldırganın ilgili mediator akışlarına özel olarak hazırlanmış XML yükleri göndermesiyle ortaya çıkabilir. Başarılı bir istismar, yüksek yetkili bir aktörün etkilenen ürünü barındıran sunucu içinde erişilebilir olan dosyaları okumasına izin verebilir. Ayrıca, sunucu ortamına ve ağ yapılandırmasına bağlı olarak, istenmeyen dahili veya harici konumlara giden isteklerin tetiklenmesi mümkün olabilir. Özel olarak hazırlanmış XML yükleri, ayrıştırma sırasında aşırı kaynak tüketimine yol açarak ürünün kullanılabilirliğini etkileyebilir.
Nasıl düzeltilir
- WSO2 WSO2 API Manager3.2.0.472, 3.2.1.91, 4.1.0.254, 4.2.0.194, 4.3.0.105, 4.4.0.68, 4.5.0.53, 4.6.0.16 ya da sonraki bir sürüm
- WSO2 WSO2 Universal Gateway4.5.0.53, 4.6.0.16 ya da sonraki bir sürüm
- WSO2 WSO2 Traffic Manager4.5.0.52, 4.6.0.16 ya da sonraki bir sürüm
- WSO2 WSO2 API Control Plane4.5.0.54, 4.6.0.17 ya da sonraki bir sürüm
- WSO2 WSO2 Carbon API Gateway6.7.206.594, 6.7.210.95, 9.20.74.398, 9.28.116.412, 9.29.120.228, 9.30.67.158, 9.31.86.147, 9.32.147.38 ya da sonraki bir sürüm
- WSO2 WSO2 Carbon API Management Implementation6.7.206.594, 6.7.210.95, 9.20.74.398, 9.28.116.412, 9.29.120.228, 9.30.67.158, 9.31.86.147, 9.32.147.38 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| WSO2 WSO2 API Manager | 3.2.0 ≤ v < 3.2.0.472, 3.2.1 ≤ v < 3.2.1.91, 4.1.0 ≤ v < 4.1.0.254, 4.2.0 ≤ v < 4.2.0.194, 4.3.0 ≤ v < 4.3.0.105, 4.4.0 ≤ v < 4.4.0.68, 4.5.0 ≤ v < 4.5.0.53, 4.6.0 ≤ v < 4.6.0.16 | 3.2.0.472, 3.2.1.91, 4.1.0.254, 4.2.0.194, 4.3.0.105, 4.4.0.68, 4.5.0.53, 4.6.0.16 |
| WSO2 WSO2 Universal Gateway | 4.5.0 ≤ v < 4.5.0.53, 4.6.0 ≤ v < 4.6.0.16 | 4.5.0.53, 4.6.0.16 |
| WSO2 WSO2 Traffic Manager | 4.5.0 ≤ v < 4.5.0.52, 4.6.0 ≤ v < 4.6.0.16 | 4.5.0.52, 4.6.0.16 |
| WSO2 WSO2 API Control Plane | 4.5.0 ≤ v < 4.5.0.54, 4.6.0 ≤ v < 4.6.0.17 | 4.5.0.54, 4.6.0.17 |
| WSO2 WSO2 Carbon API Gateway | 6.7.206 ≤ v < 6.7.206.594, 6.7.210 ≤ v < 6.7.210.95, 9.20.74 ≤ v < 9.20.74.398, 9.28.116 ≤ v < 9.28.116.412, 9.29.120 ≤ v < 9.29.120.228, 9.30.67 ≤ v < 9.30.67.158, 9.31.86 ≤ v < 9.31.86.147, 9.32.147 ≤ v < 9.32.147.38 | 6.7.206.594, 6.7.210.95, 9.20.74.398, 9.28.116.412, 9.29.120.228, 9.30.67.158, 9.31.86.147, 9.32.147.38 |
| WSO2 WSO2 Carbon API Management Implementation | 6.7.206 ≤ v < 6.7.206.594, 6.7.210 ≤ v < 6.7.210.95, 9.20.74 ≤ v < 9.20.74.398, 9.28.116 ≤ v < 9.28.116.412, 9.29.120 ≤ v < 9.29.120.228, 9.30.67 ≤ v < 9.30.67.158, 9.31.86 ≤ v < 9.31.86.147, 9.32.147 ≤ v < 9.32.147.38 | 6.7.206.594, 6.7.210.95, 9.20.74.398, 9.28.116.412, 9.29.120.228, 9.30.67.158, 9.31.86.147, 9.32.147.38 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.