Към съдържанието
Търсене

CVE-2025-9312: WSO2 API Manager, заобикаляне на вход и права

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

A missing authentication enforcement vulnerability exists in the mutual TLS (mTLS) implementation used by System REST APIs and SOAP services in multiple WSO2 products. Due to improper validation of client certificate–based authentication in certain default configurations, the affected components may permit unauthenticated requests even when mTLS is enabled. This condition occurs when relying on the default mTLS settings for System REST APIs or when the mTLS authenticator is enabled for SOAP services, causing these interfaces to accept requests without enforcing additional authentication. Successful exploitation allows a malicious actor with network access to the affected endpoints to gain administrative privileges and perform unauthorized operations. The vulnerability is exploitable only when the impacted mTLS flows are enabled and accessible in a given deployment. Other certificate-based authentication mechanisms such as Mutual TLS OAuth client authentication and X.509 login flows are not affected, and APIs served through the API Gateway of WSO2 API Manager remain unaffected.

Засегнати продукти

  • WSO2 WSO2 API Manager: преди 2.2.0; 2.2.0 преди 2.2.0.58; 2.5.0 преди 2.5.0.84; 2.6.0 преди 2.6.0.145; 3.0.0 преди 3.0.0.175; 3.1.0 преди 3.1.0.339; 3.2.0 преди 3.2.0.439; 3.2.1 преди 3.2.1.59; 4.0.0 преди 4.0.0.359; 4.1.0 преди 4.1.0.222; 4.2.0 преди 4.2.0.161; 4.3.0 преди 4.3.0.73; 4.4.0 преди 4.4.0.37; 4.5.0 преди 4.5.0.21
  • WSO2 WSO2 API Control Plane: 4.5.0 преди 4.5.0.22
  • WSO2 WSO2 Traffic Manager: 4.5.0 преди 4.5.0.20
  • WSO2 WSO2 Universal Gateway: 4.5.0 преди 4.5.0.20
  • WSO2 WSO2 Identity Server as Key Manager: преди 5.3.0; 5.3.0 преди 5.3.0.39; 5.5.0 преди 5.5.0.52; 5.6.0 преди 5.6.0.74; 5.7.0 преди 5.7.0.124; 5.9.0 преди 5.9.0.175; 5.10.0 преди 5.10.0.358
  • WSO2 WSO2 Identity Server: преди 5.2.0; 5.2.0 преди 5.2.0.33; 5.3.0 преди 5.3.0.34; 5.4.0 преди 5.4.0.33; 5.4.1 преди 5.4.1.37; 5.5.0 преди 5.5.0.51; 5.6.0 преди 5.6.0.59; 5.7.0 преди 5.7.0.125; 5.8.0 преди 5.8.0.109; 5.9.0 преди 5.9.0.168; 5.10.0 преди 5.10.0.368; 5.11.0 преди 5.11.0.411; 6.0.0 преди 6.0.0.243; 6.1.0 преди 6.1.0.241; 7.0.0 преди 7.0.0.116; 7.1.0 преди 7.1.0.23
  • WSO2 WSO2 Open Banking KM: преди 1.4.0; 1.4.0 преди 1.4.0.132; 1.5.0 преди 1.5.0.122
  • WSO2 WSO2 Open Banking AM: преди 1.4.0; 1.4.0 преди 1.4.0.138; 1.5.0 преди 1.5.0.139; 2.0.0 преди 2.0.0.388
  • WSO2 WSO2 Open Banking IAM: 2.0.0 преди 2.0.0.408
  • WSO2 org.wso2.carbon.identity.auth.service: 1.1.1 преди 1.1.1.2; 1.1.16 преди 1.1.16.3; 1.1.18 преди 1.1.18.4; 1.1.20 преди 1.1.20.5; 1.1.26 преди 1.1.26.7; 1.3.6 преди 1.3.6.8; 1.4.0 преди 1.4.0.18; 1.4.25 преди 1.4.25.24; 1.4.52 преди 1.4.52.4; 1.6.1 преди 1.6.1.11; 1.7.1 преди 1.7.1.4; 1.8.11 преди 1.8.11.6; 1.8.41 преди 1.8.41.2; 1.9.4 преди 1.9.4.4; 1.9.18 преди 1.9.18.2; 5.5.2 до 5.5.2.*

Вид слабост

История

  • 18 ноември 2025 Публикувано

Други уязвимости в WSO2 WSO2 API Manager

Първоизточници

CVE-2025-9312: WSO2 API Manager, заобикаляне на вход и права | freedomonline.bg