Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 19 OCT · 14:15

CVE-2025-6623 Cross-site scripting almacenado (XSS) por entrada XML en productos WSO2

La consola carbon acepta entrada XML del usuario sin codificar suficientemente el contenido ejecutable, permitiendo inyectar scripts maliciosos. Un atacante remoto puede ejecutar JavaScript arbitrario en el navegador de la víctima, redirigirla a un sitio malicioso o modificar la interfaz; el secuestro de sesión no es posible porque las cookies sensibles están protegidas con httpOnly.

4.3MEDIA

CVSS 3.1

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • WSO2 WSO2 API Manager

    desde 3.2.0 hasta antes de 3.2.0.433desde 3.2.1 hasta antes de 3.2.1.53desde 4.1.0 hasta antes de 4.1.0.215desde 4.2.0 hasta antes de 4.2.0.153desde 4.3.0 hasta antes de 4.3.0.66desde 4.4.0 hasta antes de 4.4.0.29desde 4.5.0 hasta antes de 4.5.0.11

  • WSO2 WSO2 Universal Gateway

    desde 4.5.0 hasta antes de 4.5.0.11

  • WSO2 WSO2 Traffic Manager

    desde 4.5.0 hasta antes de 4.5.0.11

  • WSO2 WSO2 API Control Plane

    desde 4.5.0 hasta antes de 4.5.0.12

  • WSO2 WSO2 Carbon Event Publisher UI

    desde 5.2.26 hasta antes de 5.2.26.19desde 5.2.41 hasta antes de 5.2.41.6desde 5.2.57 hasta antes de 5.2.57.7desde 5.3.5 hasta antes de 5.3.5.4desde 5.3.11 hasta antes de 5.3.11.4desde 5.3.15 hasta antes de 5.3.15.3desde 5.3.20 hasta antes de 5.3.20.1

  • WSO2 WSO2 Carbon Event Receiver UI

    desde 5.2.26 hasta antes de 5.2.26.19desde 5.2.41 hasta antes de 5.2.41.6desde 5.2.57 hasta antes de 5.2.57.7desde 5.3.5 hasta antes de 5.3.5.4desde 5.3.11 hasta antes de 5.3.11.4desde 5.3.15 hasta antes de 5.3.15.3desde 5.3.20 hasta antes de 5.3.20.1

Qué hacer

  1. Verificá si usás WSO2 API Manager y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:A/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

  • Vector de ataqueRed adyacente
  • Complejidad del ataqueBaja
  • Privilegios requeridosAltos
  • Interacción del usuarioRequerida
  • AlcanceCambiado
  • ConfidencialidadBaja
  • IntegridadBaja
  • DisponibilidadNinguna

Descripción original

The carbon console accepts user-supplied XML input without sufficiently encoding potentially executable content, allowing for the injection of malicious scripts. Successful exploitation allows a remote attacker to execute arbitrary JavaScript in the context of a victim's browser, leading to actions such as redirecting the user to a malicious website or modifying the web page's user interface. Session hijacking is not possible as sensitive session cookies are protected by the httpOnly flag.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.