9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Tokens issued to a low-privileged user are not sufficiently restricted, allowing them to be used to access product-level Admin REST APIs. Exploitation of this vulnerability allows a low-privileged user to invoke the Admin REST APIs of WSO2 products, potentially leading to full administrative account takeover. This requires the attacker to already possess a low-privileged user account and be able to obtain a valid token for it.
Засегнати продукти
- WSO2 WSO2 API Manager: преди 4.0.0; 4.0.0 преди 4.0.0.384; 4.1.0 преди 4.1.0.248; 4.2.0 преди 4.2.0.188; 4.3.0 преди 4.3.0.99; 4.4.0 преди 4.4.0.63; 4.5.0 преди 4.5.0.48; 4.6.0 преди 4.6.0.12
- WSO2 WSO2 API Control Plane: 4.5.0 преди 4.5.0.49; 4.6.0 преди 4.6.0.13
- WSO2 WSO2 Universal Gateway: 4.5.0 преди 4.5.0.48; 4.6.0 преди 4.6.0.12
- WSO2 WSO2 Traffic Manager: 4.5.0 преди 4.5.0.47; 4.6.0 преди 4.6.0.12
- WSO2 WSO2 Carbon API Manager Rest API Common Functions: 9.0.174 преди 9.0.174.550; 9.28.116 преди 9.28.116.404; 9.29.120 преди 9.29.120.221; 9.30.67 преди 9.30.67.146; 9.31.86 преди 9.31.86.130; 9.32.147 преди 9.32.147.26; от 9.33.27 нататък
- WSO2 WSO2 Carbon API Manager Rest API Utility: 9.20.74 преди 9.20.74.392; от 9.33.27 нататък
Вид слабост
История
- 6 август 2026 Публикувано