CVE-2024-6423 Exposición de datos sensibles en parámetros URL de productos WSO2

Qué es CVE-2024-6423

Varios productos WSO2 no aplican restricciones de validación a la entrada del usuario en parámetros URL, permitiendo que datos sensibles pasen a flujos no previstos y queden registrados en los logs de acceso, con posible exposición de información confidencial si el producto se usa incorrectamente.

Productos y versiones afectadas

• WSO2 WSO2 API Manager

  • desde 3.1.0 hasta antes de 3.1.0.313
  • desde 3.2.0 hasta antes de 3.2.0.406
  • desde 3.2.1 hasta antes de 3.2.1.30
  • desde 4.0.0 hasta antes de 4.0.0.324
  • desde 4.1.0 hasta antes de 4.1.0.185
  • desde 4.2.0 hasta antes de 4.2.0.124
  • desde 4.3.0 hasta antes de 4.3.0.36
  • desde 4.4.0 hasta antes de 4.4.0.2

• WSO2 WSO2 Open Banking AM

  • desde 2.0.0 hasta antes de 2.0.0.363

• WSO2 WSO2 Identity Server

  • desde 5.10.0 hasta antes de 5.10.0.337
  • desde 5.11.0 hasta antes de 5.11.0.384
  • desde 6.0.0 hasta antes de 6.0.0.213
  • desde 6.1.0 hasta antes de 6.1.0.211
  • desde 7.0.0 hasta antes de 7.0.0.50

• WSO2 WSO2 Identity Server as Key Manager

  • desde 5.10.0 hasta antes de 5.10.0.329

• WSO2 WSO2 Open Banking IAM

  • desde 2.0.0 hasta antes de 2.0.0.381

• WSO2 WSO2 Carbon Identity Application

  • desde 6.3.0 hasta antes de 6.3.0.18
  • desde 6.3.11 hasta antes de 6.3.11.23
  • desde 6.3.58 hasta antes de 6.3.58.1
  • desde 6.5.0 hasta antes de 6.5.0.5
  • desde 6.6.0 hasta antes de 6.6.0.1
  • desde 6.7.8 hasta antes de 6.7.8.4
  • desde 6.7.32 hasta antes de 6.7.32.1

• WSO2 WSO2 Carbon Identity Core

  • desde 5.17.5 hasta antes de 5.17.5.286
  • desde 5.17.118 hasta antes de 5.17.118.11
  • desde 5.18.187 hasta antes de 5.18.187.263
  • desde 5.18.248 hasta antes de 5.18.248.23
  • desde 5.23.8 hasta antes de 5.23.8.189
  • desde 5.24.8 hasta antes de 5.24.8.12
  • desde 5.25.92 hasta antes de 5.25.92.91
  • desde 5.25.92 hasta antes de 5.25.92.118
  • desde 5.25.705 hasta antes de 5.25.705.11
  • desde 5.25.713 hasta antes de 5.25.713.2
  • desde 7.0.78 hasta antes de 7.0.78.27

• WSO2 WSO2 Carbon Identity Oauth

  • desde 6.4.2 hasta antes de 6.4.2.142
  • desde 6.4.176 hasta antes de 6.4.176.20
  • desde 6.4.180 hasta antes de 6.4.180.8
  • desde 6.8.0 hasta antes de 6.8.0.40
  • desde 6.9.6 hasta antes de 6.9.6.16
  • desde 6.11.21 hasta antes de 6.11.21.44
  • desde 6.13.16 hasta antes de 6.13.16.6
  • desde 6.13.19 hasta antes de 6.13.19.2
  • desde 7.0.26 hasta antes de 7.0.26.18

Qué hacer

1. Verificá si usás WSO2 API Manager y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.0 MEDIA

CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The product failed to enforce validation constraints on user-supplied input in URL parameters, allowing sensitive data to be passed to flows where it was not intended to be processed. Although the product did not utilize this data, its acceptance could lead to logging. If a user mistakenly sends sensitive data via URL parameters to any flow, this data could be inadvertently logged in access logs. This has the potential to expose confidential information, compromising the security and privacy of affected systems if the product is used incorrectly.

Referencias

• security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-202…VENDOR-ADVISORY

Historial de la alerta

1. 21 OCT · 13:05VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.