CVE-2025-11969 Control de acceso roto en las System REST APIs de productos WSO2
Las System REST APIs no aplican correctamente los mecanismos de control de acceso, lo que permite a usuarios con roles de menor privilegio ejecutar acciones administrativas restringidas. Una explotación exitosa podría permitir a un actor malicioso realizar operaciones administrativas no autorizadas. Las APIs expuestas a través del API Gateway de WSO2 API Manager no están afectadas.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 25
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WSO2 WSO2 API Manager
desde 3.1.0 hasta antes de 3.1.0.347desde 3.2.0 hasta antes de 3.2.0.450desde 3.2.1 hasta antes de 3.2.1.70desde 4.0.0 hasta antes de 4.0.0.370desde 4.1.0 hasta antes de 4.1.0.233desde 4.2.0 hasta antes de 4.2.0.173desde 4.3.0 hasta antes de 4.3.0.85desde 4.4.0 hasta antes de 4.4.0.49desde 4.5.0 hasta antes de 4.5.0.32
WSO2 WSO2 Identity Server as Key Manager
desde 5.10.0 hasta antes de 5.10.0.367
WSO2 WSO2 Open Banking AM
desde 2.0.0 hasta antes de 2.0.0.396
WSO2 WSO2 Open Banking IAM
desde 2.0.0 hasta antes de 2.0.0.416
WSO2 WSO2 API Control Plane
desde 4.5.0 hasta antes de 4.5.0.33
WSO2 WSO2 Universal Gateway
desde 4.5.0 hasta antes de 4.5.0.31
WSO2 WSO2 Traffic Manager
desde 4.5.0 hasta antes de 4.5.0.31
WSO2 WSO2 Carbon API Manager Rest API Utility
desde 6.6.163 hasta antes de 6.6.163.159desde 6.6.163 hasta antes de 6.6.163.160desde 6.7.206 hasta antes de 6.7.206.574desde 6.7.206 hasta antes de 6.7.206.576desde 6.7.210 hasta antes de 6.7.210.69desde 6.7.210 hasta antes de 6.7.210.71desde 9.0.174 hasta antes de 9.0.174.536desde 9.20.74 hasta antes de 9.20.74.384desde 9.20.74 hasta antes de 9.20.74.385desde 9.28.116 hasta antes de 9.28.116.380desde 9.29.120 hasta antes de 9.29.120.202desde 9.30.67 hasta antes de 9.30.67.125desde 9.31.86 hasta antes de 9.31.86.90
WSO2 WSO2 Carbon API Manager Rest API Common Functions
desde 9.0.174 hasta antes de 9.0.174.538desde 9.20.74 hasta antes de 9.20.74.385desde 9.28.116 hasta antes de 9.28.116.382desde 9.29.120 hasta antes de 9.29.120.204desde 9.30.67 hasta antes de 9.30.67.126desde 9.31.86 hasta antes de 9.31.86.91
Qué hacer
- Verificá si usás WSO2 API Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.4 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadBaja
Descripción original
The System REST APIs do not correctly enforce access control mechanisms, allowing users with lower privilege roles to execute administrative actions that should be restricted. This weakness permits unauthorized operations on the affected product.
Successful exploitation could enable a malicious actor to perform unauthorized administrative operations, including executing administrative functions. APIs exposed through the WSO2 API Manager's API Gateway are not affected by this vulnerability.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.