CVE-2026-2613 Inyección SQL en la Admin REST API de múltiples productos WSO2
La Admin REST API acepta entrada del usuario sin sanearla adecuadamente y la incluye en la estructura de sentencias SQL. Un usuario con privilegios de administrador puede influir en la estructura de las consultas y realizar inyección SQL ciega para inferir información de la base de datos y afectar la disponibilidad del servicio.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 36
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WSO2 WSO2 API Manager
desde 4.0.0 hasta antes de 4.0.0.387desde 4.1.0 hasta antes de 4.1.0.251desde 4.2.0 hasta antes de 4.2.0.191desde 4.3.0 hasta antes de 4.3.0.102desde 4.4.0 hasta antes de 4.4.0.66desde 4.5.0 hasta antes de 4.5.0.51desde 4.6.0 hasta antes de 4.6.0.15
WSO2 WSO2 Traffic Manager
desde 4.5.0 hasta antes de 4.5.0.50desde 4.6.0 hasta antes de 4.6.0.15
WSO2 WSO2 API Control Plane
desde 4.5.0 hasta antes de 4.5.0.52desde 4.6.0 hasta antes de 4.6.0.16
WSO2 WSO2 Universal Gateway
desde 4.5.0 hasta antes de 4.5.0.51desde 4.6.0 hasta antes de 4.6.0.15
WSO2 WSO2 Carbon API Management Implementation
hasta antes de 9.33.25
Qué hacer
- Verificá si usás WSO2 API Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.7 ALTA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
The Admin REST API accepts user-supplied input without adequately sanitizing it, allowing it to be included in the structure of SQL statements.
A user with administrator privileges can exploit this by influencing the structure of executed SQL statements, enabling blind SQL injection to infer database information and potentially impact the availability of the database service.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.