Към съдържанието
Търсене

CVE-2025-13394: WSO2 Identity Server, CSRF

5.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

The Ajax processor within the Carbon console fails to adequately protect state-changing operations from Cross-Site Request Forgery (CSRF) attacks. Specifically, it utilizes the HTTP GET method for these operations, and while the SameSite=Lax cookie attribute is employed for mitigation, this mechanism is bypassed as it permits cookies to be sent with cross-origin top-level navigation requests, including GET requests. This allows an attacker to trick an authenticated user's browser into unknowingly executing unintended actions. An attacker can exploit this vulnerability to perform unauthorized state-altering requests on behalf of authenticated users. This could lead to consequences such as data modification, account changes, or other actions that could result in data compromise or loss of user control over their account. However, this attack is only feasible if the Carbon console and related services are exposed to the public internet, which is not recommended according to WSO2's security guidelines.

Засегнати продукти

  • WSO2 WSO2 Identity Server: преди 5.10.0; 5.10.0 преди 5.10.0.381; 5.11.0 преди 5.11.0.428; 6.0.0 преди 6.0.0.255; 6.1.0 преди 6.1.0.256; 7.0.0 преди 7.0.0.133; 7.1.0 преди 7.1.0.41; 7.2.0 преди 7.2.0.3
  • WSO2 WSO2 API Manager: преди 3.1.0; 3.1.0 преди 3.1.0.352; 3.2.0 преди 3.2.0.456; 3.2.1 преди 3.2.1.75; 4.0.0 преди 4.0.0.376; 4.1.0 преди 4.1.0.239; 4.2.0 преди 4.2.0.179; 4.3.0 преди 4.3.0.91; 4.4.0 преди 4.4.0.55; 4.5.0 преди 4.5.0.38; 4.6.0 преди 4.6.0.3
  • WSO2 WSO2 Open Banking IAM: преди 2.0.0; 2.0.0 преди 2.0.0.421
  • WSO2 WSO2 Open Banking AM: преди 2.0.0; 2.0.0 преди 2.0.0.401
  • WSO2 WSO2 Identity Server as Key Manager: преди 5.10.0; 5.10.0 преди 5.10.0.372
  • WSO2 WSO2 API Control Plane: преди 4.5.0; 4.5.0 преди 4.5.0.39; 4.6.0 преди 4.6.0.3
  • WSO2 WSO2 Universal Gateway: преди 4.5.0; 4.5.0 преди 4.5.0.37; 4.6.0 преди 4.6.0.3
  • WSO2 WSO2 Traffic Manager: преди 4.5.0; 4.5.0 преди 4.5.0.37; 4.6.0 преди 4.6.0.3
  • WSO2 WSO2 Enterprise Integrator: преди 6.6.0; 6.6.0 преди 6.6.0.227
  • WSO2 WSO2 Carbon Identity Entitlement UI: 5.17.5 преди 5.17.5.331; 5.18.187 преди 5.18.187.329; 5.23.8 преди 5.23.8.210; 5.25.92 преди 5.25.92.166; 7.0.78 преди 7.0.78.157; от x нататък
  • WSO2 WSO2 Carbon Identity Management UI1: 5.17.5 преди 5.17.5.330; 5.17.5 преди 5.17.5.331; 5.17.118 преди 5.17.118.22; 5.18.187 преди 5.18.187.328; 5.18.187 преди 5.18.187.329; 5.18.248 преди 5.18.248.31; 5.23.8 преди 5.23.8.210; 5.24.8 преди 5.24.8.26; 5.25.92 преди 5.25.92.166; 5.25.705 преди 5.25.705.21; 5.25.713 преди 5.25.713.10; 5.25.724 преди 5.25.724.5; 5.25.736 преди 5.25.736.1; 7.0.78 преди 7.0.78.157; 7.8.23 преди 7.8.23.67; 7.8.586 преди 7.8.586.7; от x нататък
  • WSO2 WSO2 Carbon Identity User Store Configuration UI: 5.14.127 преди 5.14.127.13; 5.17.5 преди 5.17.5.330; 5.17.5 преди 5.17.5.331; 5.17.118 преди 5.17.118.22; 5.18.187 преди 5.18.187.328; 5.18.187 преди 5.18.187.329; 5.18.248 преди 5.18.248.31; 5.23.8 преди 5.23.8.210; 5.24.8 преди 5.24.8.26; 5.25.92 преди 5.25.92.166; 5.25.705 преди 5.25.705.21; 5.25.713 преди 5.25.713.10; 5.25.724 преди 5.25.724.5; 5.25.736 преди 5.25.736.1; 7.0.78 преди 7.0.78.157; 7.8.23 преди 7.8.23.67; 7.8.586 преди 7.8.586.7; от x нататък
  • WSO2 WSO2 Carbon Registry Profiles UI: 4.7.32 преди 4.7.32.18; 4.7.33 преди 4.7.33.16; 4.8.9 преди 4.8.9.16; 4.8.12 преди 4.8.12.8; 4.8.24 преди 4.8.24.6; 4.8.43 преди 4.8.43.4; 4.8.50 преди 4.8.50.3; от x нататък
  • WSO2 WSO2 Carbon Registry Properties UI: 4.7.24 преди 4.7.24.11; 4.7.32 преди 4.7.32.16; 4.7.32 преди 4.7.32.18; 4.7.33 преди 4.7.33.16; 4.7.35 преди 4.7.35.15; 4.7.39 преди 4.7.39.12; 4.7.51 преди 4.7.51.8; 4.8.3 преди 4.8.3.10; 4.8.9 преди 4.8.9.16; 4.8.12 преди 4.8.12.8; 4.8.13 преди 4.8.13.9; 4.8.24 преди 4.8.24.6; 4.8.32 преди 4.8.32.4; 4.8.36 преди 4.8.36.2; 4.8.43 преди 4.8.43.2; 4.8.43 преди 4.8.43.4; 4.8.50 преди 4.8.50.1; 4.8.50 преди 4.8.50.3; от x нататък
  • WSO2 WSO2 Carbon Registry Resources UI: 4.7.24 преди 4.7.24.11; 4.7.32 преди 4.7.32.16; 4.7.32 преди 4.7.32.18; 4.7.33 преди 4.7.33.16; 4.7.35 преди 4.7.35.15; 4.7.39 преди 4.7.39.12; 4.7.51 преди 4.7.51.8; 4.8.3 преди 4.8.3.10; 4.8.9 преди 4.8.9.16; 4.8.12 преди 4.8.12.8; 4.8.13 преди 4.8.13.9; 4.8.24 преди 4.8.24.6; 4.8.32 преди 4.8.32.4; 4.8.36 преди 4.8.36.2; 4.8.43 преди 4.8.43.2; 4.8.43 преди 4.8.43.4; 4.8.50 преди 4.8.50.1; 4.8.50 преди 4.8.50.3; от x нататък
  • WSO2 WSO2 Carbon Registry Search UI: 4.7.24 преди 4.7.24.11; 4.7.32 преди 4.7.32.16; 4.7.32 преди 4.7.32.18; 4.7.33 преди 4.7.33.16; 4.7.35 преди 4.7.35.15; 4.7.39 преди 4.7.39.12; 4.7.51 преди 4.7.51.8; 4.8.3 преди 4.8.3.10; 4.8.9 преди 4.8.9.16; 4.8.12 преди 4.8.12.8; 4.8.13 преди 4.8.13.9; 4.8.24 преди 4.8.24.6; от x нататък
  • WSO2 WSO2 Stratos User Interface For Tenant CRUD Operations: 4.8.1 преди 4.8.1.6; 4.8.7 преди 4.8.7.3; 4.9.8 преди 4.9.8.7; 4.9.10 преди 4.9.10.7; 4.9.10 преди 4.9.10.8; 4.9.20 преди 4.9.20.5; 4.9.27 преди 4.9.27.1; 4.9.31 преди 4.9.31.1; 4.9.34 преди 4.9.34.1; 4.9.42 преди 4.9.42.1; 4.11.0 преди 4.11.0.7; 4.11.19 преди 4.11.19.4; 4.11.34 преди 4.11.34.3; 4.11.45 преди 4.11.45.1; от x нататък
  • WSO2 WSO2 Stratos SSO Redirector UI Component: 4.8.1 преди 4.8.1.6; от x нататък
  • WSO2 WSO2 Carbon Email Verification UI: 4.7.19 преди 4.7.19.14; от x нататък
  • WSO2 WSO2 Carbon Event Simulator UI: 2.2.11 преди 2.2.11.1; 2.2.14 преди 2.2.14.11; 2.2.14 преди 2.2.14.12; 2.2.17 преди 2.2.17.5; 2.3.1 преди 2.3.1.4; 2.3.5 преди 2.3.5.6; от x нататък
  • WSO2 WSO2 Carbon Execution Manager UI: 5.2.24 преди 5.2.24.10; 5.2.26 преди 5.2.26.22; 5.2.34 преди 5.2.34.12; 5.2.41 преди 5.2.41.7; 5.2.57 преди 5.2.57.10; 5.3.5 преди 5.3.5.9; от x нататък
  • WSO2 WSO2 Carbon Governance Custom Lifecycle Checklist UI: 4.8.14 преди 4.8.14.4; 4.8.19 преди 4.8.19.8; 4.8.21 преди 4.8.21.10; 4.8.28 преди 4.8.28.4; 4.8.30 преди 4.8.30.6; 4.8.32 преди 4.8.32.4; от x нататък
  • WSO2 WSO2 Carbon Governance Generic Artifact User Interface: 4.8.14 преди 4.8.14.4; 4.8.19 преди 4.8.19.8; 4.8.21 преди 4.8.21.10; 4.8.28 преди 4.8.28.4; 4.8.30 преди 4.8.30.6; 4.8.32 преди 4.8.32.4; 4.8.33 преди 4.8.33.4; 4.8.34 преди 4.8.34.5; 4.8.37 преди 4.8.37.4; от x нататък
  • WSO2 WSO2 Carbon Governance Life Cycles User Interface: 4.8.14 преди 4.8.14.4; 4.8.19 преди 4.8.19.8; 4.8.21 преди 4.8.21.10; 4.8.28 преди 4.8.28.4; 4.8.30 преди 4.8.30.6; 4.8.32 преди 4.8.32.4; от x нататък
  • WSO2 WSO2 Carbon Governance WSDL Tool UI: 4.8.14 преди 4.8.14.4; 4.8.19 преди 4.8.19.8; 4.8.21 преди 4.8.21.10; 4.8.28 преди 4.8.28.4; 4.8.30 преди 4.8.30.6; 4.8.32 преди 4.8.32.4; 4.8.33 преди 4.8.33.4; 4.8.34 преди 4.8.34.5; 4.8.37 преди 4.8.37.4; от x нататък
  • WSO2 WSO2 Carbon New Data Sources UI: 4.7.19 преди 4.7.19.13; 4.7.24 преди 4.7.24.5; 4.7.32 преди 4.7.32.10; 4.7.35 преди 4.7.35.13; 4.7.49 преди 4.7.49.7; 4.7.52 преди 4.7.52.5; 4.9.2 преди 4.9.2.8; 4.9.11 преди 4.9.11.2; 4.9.18 преди 4.9.18.1; от x нататък
  • WSO2 WSO2 Carbon Registry Info UI2: 4.7.32 преди 4.7.32.16; 4.7.35 преди 4.7.35.15; 4.7.39 преди 4.7.39.12; 4.7.51 преди 4.7.51.8; 4.8.3 преди 4.8.3.10; 4.8.13 преди 4.8.13.9; 4.8.32 преди 4.8.32.4; 4.8.36 преди 4.8.36.2; 4.8.43 преди 4.8.43.2; 4.8.50 преди 4.8.50.1; от x нататък
  • WSO2 WSO2 Carbon Registry Relations UI: 4.7.24 преди 4.7.24.11; 4.7.32 преди 4.7.32.16; 4.7.35 преди 4.7.35.15; 4.7.39 преди 4.7.39.12; 4.7.51 преди 4.7.51.8; 4.8.3 преди 4.8.3.10; 4.8.13 преди 4.8.13.9; 4.8.32 преди 4.8.32.4; 4.8.36 преди 4.8.36.2; 4.8.43 преди 4.8.43.2; 4.8.50 преди 4.8.50.1; от x нататък
  • WSO2 WSO2 Carbon Registry Indexing: 4.7 преди 4.7.24; от x нататък
  • WSO2 WSO2 Carbon Security UI: 5.14 преди 5.14.127; от x нататък
  • WSO2 WSO2 Carbon Component Andes Event UI: 3.3.12 преди 3.3.12.3; от x нататък
  • WSO2 WSO2 Carbon Component Andes UI1: 3.3.12 преди 3.3.12.3; от x нататък
  • WSO2 WSO2 Carbon HL7 Business Messaging Store UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Endpoint Editor UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Publish Event Mediator Configuration UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Eventing UI: 4.7.19 преди 4.7.19.13; от x нататък
  • WSO2 WSO2 Carbon HumanTask UI: 4.5.27 преди 4.5.27.10; от x нататък
  • WSO2 WSO2 Carbon Logging UI: 4.7.19 преди 4.7.19.13; 4.7.24 преди 4.7.24.5; 4.7.32 преди 4.7.32.10; 4.7.52 преди 4.7.52.5; от x нататък
  • WSO2 WSO2 Carbon Template Editor UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Command Mediator UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Rule Mediator UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Throttle Mediator UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Tasks Core: 4.7.19 преди 4.7.19.13; от x нататък
  • WSO2 WSO2 Carbon Rest API Admin UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Sequence Editor UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Task UI: 4.7.30 преди 4.7.30.53; от x нататък
  • WSO2 WSO2 Carbon Governance: 4.8.37 преди 4.8.37.4; от x нататък

Вид слабост

История

  • 6 август 2026 Публикувано

Други уязвимости в WSO2 WSO2 Identity Server

Първоизточници

CVE-2025-13394: WSO2 Identity Server, CSRF | freedomonline.bg