3.5
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се от съседна мрежа, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
The component accepts XML input through the publisher without disabling external entity resolution. This allows malicious actors to submit a crafted XML payload that exploits the unescaped external entity references. By leveraging this vulnerability, a malicious actor can read confidential files from the product's file system or access limited HTTP resources reachable via HTTP GET requests to the vulnerable product.
Засегнати продукти
- WSO2 WSO2 API Manager: преди 3.2.0; 3.2.0 преди 3.2.0.397; 3.2.1 преди 3.2.1.27; 4.0.0 преди 4.0.0.310; 4.0.0 преди 4.0.0.319; 4.1.0 преди 4.1.0.171; 4.2.0 преди 4.2.0.127; 4.3.0 преди 4.3.0.39
Вид слабост
История
- 16 април 2026 Публикувано