Към съдържанието
Търсене

CVE-2024-8995: WSO2 API Manager, друго

4.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Unused authorization codes issued to deleted users are not being properly invalidated or removed from the system. This allows for the persistence of these codes, enabling them to be potentially reused. If an attacker possesses both the authorization code and the associated client credentials (client ID and client secret), they can leverage these unused codes to obtain access tokens on behalf of users who have already been deleted. This may lead to unauthorized access to sensitive resources and services, contingent on the scopes originally authorized for the compromised authorization code.

Засегнати продукти

  • WSO2 WSO2 API Manager: преди 3.1.0; 3.1.0 преди 3.1.0.320; 3.2.0 преди 3.2.0.413; 3.2.1 преди 3.2.1.90; 4.0.0 преди 4.0.0.334; 4.1.0 преди 4.1.0.255; 4.2.0 преди 4.2.0.195; 4.3.0 преди 4.3.0.106; 4.4.0 преди 4.4.0.70; 4.5.0 преди 4.5.0.55; 4.6.0 преди 4.6.0.19
  • WSO2 WSO2 Traffic Manager: 4.5.0 преди 4.5.0.54; 4.6.0 преди 4.6.0.19
  • WSO2 WSO2 API Control Plane: 4.5.0 преди 4.5.0.56; 4.6.0 преди 4.6.0.20
  • WSO2 WSO2 Universal Gateway: 4.5.0 преди 4.5.0.55; 4.6.0 преди 4.6.0.19
  • WSO2 WSO2 Open Banking AM: преди 2.0.0; 2.0.0 преди 2.0.0.369
  • WSO2 WSO2 Identity Server: преди 5.10.0; 5.10.0 преди 5.10.0.345; 5.11.0 преди 5.11.0.395; 6.0.0 преди 6.0.0.229; 6.1.0 преди 6.1.0.208
  • WSO2 WSO2 Open Banking IAM: преди 2.0.0; 2.0.0 преди 2.0.0.389
  • WSO2 WSO2 Identity Server as Key Manager: преди 5.10.0; 5.10.0 преди 5.10.0.338
  • WSO2 WSO2 Carbon OAuth: 6.4.2 преди 6.4.2.154; 6.4.111 преди 6.4.111.131; 6.4.176 преди 6.4.176.35; 6.4.180 преди 6.4.180.17; 6.8.0 преди 6.8.0.46; 6.9.6 преди 6.9.6.34; 6.11.21 преди 6.11.21.59; 6.13.16 преди 6.13.16.27; 6.13.19 преди 6.13.19.19; 6.13.27 преди 6.13.27.15; 6.13.41 преди 6.13.41.4; от 6.11.53 нататък

Вид слабост

История

  • 6 август 2026 Публикувано

Други уязвимости в WSO2 WSO2 API Manager

Първоизточници