WSO2 - CVE-2025-11969

Date de publication :

Il s’agit d’une vulnérabilité dans les System REST APIs de WSO2 API Manager.

WSO2 API Manager est une plateforme libre de gestion du cycle de vie des API. Elle fournit une passerelle (API Gateway), un portail développeur et un contrôle d’accès aux API.

Ces API REST système n’appliquent pas correctement le contrôle d’accès. La vérification des autorisations est donc défaillante. Un utilisateur doté d’un rôle à faibles privilèges peut invoquer des actions réservées aux administrateurs. Les API créées et publiées via l’API Gateway ne sont pas concernées. Le défaut touche aussi API Control Plane, Traffic Manager, Universal Gateway et Identity Server as Key Manager. Les déclinaisons Open Banking AM et Open Banking IAM sont également touchées.

Elle permet à un utilisateur à faibles privilèges d’exécuter des opérations d’administration non autorisées sur le produit.

CVE-2025-11969

[Score CVSS v3.1 : 9.4]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Élévation de privilèges

Exploitation

La vulnérabilité exploitée est du type
CWE-285 : Improper Authorization

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

  • WSO2 API Manager versions 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0, 4.4.0 et 4.5.0 antérieures aux niveaux de mise à jour listés ci-dessous

  • WSO2 API Control Plane version 4.5.0 antérieure au niveau 33
  • WSO2 Traffic Manager version 4.5.0 antérieure au niveau 31
  • WSO2 Universal Gateway version 4.5.0 antérieure au niveau 31
  • WSO2 Identity Server as Key Manager version 5.10.0 antérieure au niveau 367
  • WSO2 Open Banking AM version 2.0.0 antérieure au niveau 396
  • WSO2 Open Banking IAM version 2.0.0 antérieure au niveau 416

 

Solutions ou recommandations

•   WSO2 API Manager branche 4.5.0 : versions 4.5.0.32 et supérieures
•   WSO2 API Manager branche 4.4.0 : versions 4.4.0.49 et supérieures
•   WSO2 API Manager branche 4.3.0 : versions 4.3.0.85 et supérieures
•   WSO2 API Manager branche 4.2.0 : versions 4.2.0.173 et supérieures
•   WSO2 API Manager branche 4.1.0 : versions 4.1.0.233 et supérieures
•   WSO2 API Manager branche 4.0.0 : versions 4.0.0.370 et supérieures
•   WSO2 API Manager branche 3.2.1 : versions 3.2.1.70 et supérieures
•   WSO2 API Manager branche 3.2.0 : versions 3.2.0.450 et supérieures
•   WSO2 API Manager branche 3.1.0 : versions 3.1.0.347 et supérieures
•   WSO2 API Control Plane 4.5.0 : versions 4.5.0.33 et supérieures
•   WSO2 Traffic Manager 4.5.0 : versions 4.5.0.31 et supérieures
•   WSO2 Universal Gateway 4.5.0 : versions 4.5.0.31 et supérieures
•   WSO2 Identity Server as Key Manager 5.10.0 : versions 5.10.0.367 et supérieures
•   WSO2 Open Banking AM 2.0.0 : versions 2.0.0.396 et supérieures
•   WSO2 Open Banking IAM 2.0.0 : versions 2.0.0.416 et supérieures

Liens