CVE-2025-14260

Mở trang đầy đủ

CVSS 8.3 HIGH Lộ dữ liệu

Server Side Request Forgery in Multiple WSO2 Products Allows Access to Internal and External Resources

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Due to the improper implementation of access control rules, the WSO2 product accepts user-supplied input related to resource location without enforcing expected validation constraints. This can be exploited by an unauthenticated actor to direct the server to make requests to arbitrary network locations.

Exploiting this vulnerability allows a malicious actor to access both internal and external resources, available through the network or filesystem, that are reachable by the WSO2 product. This could potentially lead to unauthorized access to sensitive data and systems.

Điểm và phân loại

CVSS
8.3 HIGH v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
—
CWE
CWE-918

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

Ảnh hưởng

Sản phẩm

  • WSO2 WSO2 API Manager
  • WSO2 WSO2 Identity Server as Key Manager
  • WSO2 WSO2 Open Banking AM
  • WSO2 WSO2 Open Banking IAM
  • WSO2 WSO2 Identity Server
  • WSO2 SAML2 SSO Authenticator UI Bundle
  • WSO2 WSO2 Carbon UI

Vì sao được giữ

  • CVSS 8.3 >= 8.0

Loại tác động

Lộ dữ liệu
CWE-918

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
WSO2
CVE.org · SSVC
Tự động hoá được: no · Khai thác: none · Tác động kỹ thuật: total

Tham khảo