جزئیات آسیب‌پذیری
CVE-2025-14561
WSO2 API Control PlaneWSO2 API ManagerWSO2 Carbon API Management ImplementationWSO2 Carbon API Manager Rest API UtilityWSO2 Traffic ManagerWSO2 Universal Gateway
Access Control Bypass via Publisher REST APIs in Multiple WSO2 Products Allows Cross-Tenant Operations
CVSS 3.1
9.0بحرانی
شرح رسمی (انگلیسی)
In multi-tenant deployments, the Publisher REST APIs fail to enforce tenant isolation correctly. This allows a user in one tenant, possessing sufficient privileges to invoke these APIs, to perform operations that impact other tenants. The vulnerability allows a privileged user to perform publisher operations such as exposing or modifying API Metadata in another tenant environment. This impact is only realized in multi-tenant deployments.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.0بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (WSO2) | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| WSO2 | WSO2 API Control Plane | 4.5.0 ≤ v < 4.5.0.42 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Control Plane | 4.6.0 ≤ v < 4.6.0.7 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Manager | 4.1.0 ≤ v < 4.1.0.242 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Manager | 4.2.0 ≤ v < 4.2.0.182 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Manager | 4.3.0 ≤ v < 4.3.0.93 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Manager | 4.4.0 ≤ v < 4.4.0.57 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Manager | 4.5.0 ≤ v < 4.5.0.41 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 API Manager | 4.6.0 ≤ v < 4.6.0.6 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Management Implementation | 9.20.74 ≤ v < 9.20.74.388 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Management Implementation | 9.28.116 ≤ v < 9.28.116.395 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Management Implementation | 9.29.120 ≤ v < 9.29.120.213 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Management Implementation | 9.30.67 ≤ v < 9.30.67.135 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Management Implementation | 9.31.86 ≤ v < 9.31.86.108 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Management Implementation | 9.32.147 ≤ v < 9.32.147.5 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Manager Rest API Utility | 9.20.74 ≤ v < 9.20.74.388 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Manager Rest API Utility | 9.28.116 ≤ v < 9.28.116.395 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Manager Rest API Utility | 9.29.120 ≤ v < 9.29.120.213 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Manager Rest API Utility | 9.30.67 ≤ v < 9.30.67.135 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Manager Rest API Utility | 9.31.86 ≤ v < 9.31.86.108 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Carbon API Manager Rest API Utility | 9.32.147 ≤ v < 9.32.147.5 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Traffic Manager | 4.5.0 ≤ v < 4.5.0.40 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Traffic Manager | 4.6.0 ≤ v < 4.6.0.6 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Universal Gateway | 4.5.0 ≤ v < 4.5.0.40 | CVEProject cvelistV5 (CNA) |
| WSO2 | WSO2 Universal Gateway | 4.6.0 ≤ v < 4.6.0.6 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۵/۱۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۵/۱۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- WSO2
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۱٪
احتمال بهره‌برداری در ۳۰ روز
۳۵٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-284Improper Access Control