6.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
The authentication endpoint fails to encode user-supplied input before rendering it in the web page, allowing for script injection. An attacker can leverage this by injecting malicious scripts into the authentication endpoint. This can result in the user's browser being redirected to a malicious website, manipulation of the web page's user interface, or the retrieval of information from the browser. However, session hijacking is not possible due to the httpOnly flag protecting session-related cookies.
Засегнати продукти
- WSO2 WSO2 API Manager: преди 3.1.0; 3.1.0 преди 3.1.0.351; 3.2.0 преди 3.2.0.455; 3.2.1 преди 3.2.1.74; 4.0.0 преди 4.0.0.375; 4.1.0 преди 4.1.0.238
- WSO2 WSO2 Identity Server: преди 5.10.0; 5.10.0 преди 5.10.0.360; 5.11.0 преди 5.11.0.405
Вид слабост
История
- 16 април 2026 Публикувано