ورود

جزئیات آسیب‌پذیری

CVE-2025-12544

WSO2 API ManagerWSO2 Carbon API Manager Publisher REST API

Stored Cross-Site Scripting in Multiple WSO2 Products

CVSS 3.1
4.8متوسط
نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

The Publisher portal fails to enforce proper validation on uploaded SVG files, allowing users with the Publisher role to inject malicious scripts. This weakness can be exploited by uploading a crafted SVG file, which is then stored and rendered by the application. The security consequences include the ability for a malicious actor to redirect the victim's browser to an arbitrary website, modify the web page's UI, or retrieve information from the browser. However, the impact is mitigated as session-related sensitive cookies are protected with the httpOnly flag, preventing session hijacking.

امتیازهای CVSS

امتیازنسخهمنبعبردار
4.8متوسط 3.1 CVEProject cvelistV5 (CNA) (WSO2) CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
WSO2 WSO2 API Manager v < 3.2.0 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 3.2.0 ≤ v < 3.2.0.449 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 3.2.1 ≤ v < 3.2.1.68 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.0.0 ≤ v < 4.0.0.368 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.1.0 ≤ v < 4.1.0.60 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.2.0 ≤ v < 4.2.0.7 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Publisher REST API v < 9.28.140 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۸/۱۱
آخرین به‌روزرسانی
۱۴۰۵/۰۸/۱۱
وضعیت
PUBLISHED
صادرکننده (CNA)
WSO2
اولویت کلون
به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۲٪
احتمال بهره‌برداری در ۳۰ روز
۹٫۸٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable
no
Exploitation
none
Technical Impact
partial

ضعف‌ها (CWE)

  • CWE-79
    Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')