Wso2 Api Manager
関連 29slug: wso2-api-manager
このタグの解説はまだありません。
Wso2 Api Manager に関連する脆弱性 29
- 重大 9.8 解説あり WSO2 API Managerに権限昇格の脆弱性、修正版あり WSO2 API ManagerでIdentity ServerをResident Key Managerにしている環境で、セルフ登録したユーザーがシステム用のAPIを使えてしまう脆弱性です。該当する構成か確認し、IS・APIM・コネクターを更新してください。 CVE-2026-4052
- 中 6.1 The authentication endpoint does not properly encode user-supplied input before rendering it... CVE-2025-5769
- 中 4.8 When utilizing JWT Bearer or SAML2 Bearer grant types, the system fails to validate the status of... CVE-2025-1397
- 中 4.3 The error handling implementation fails to properly sanitize or validate user-supplied input... CVE-2024-12139
- 中 4.9 The refresh token grant type in WSO2 products fails to re-validate account status before issuing... CVE-2024-9517
- 中 5.4 The affected components accept user-supplied input for constructing redirection URLs without... CVE-2024-2372
- 中 4.8 The Publisher portal fails to enforce proper validation on uploaded SVG files, allowing users... CVE-2025-12544
- 高 8.7 WSO2 API Managerの脆弱性、管理者権限でSQLを操作されるおそれ WSO2 API ManagerのAdmin REST APIで、利用者の入力がSQL文の構造に混ざる脆弱性が見つかりました。管理者権限を持つ利用者が、ブラインドSQLインジェクションでデータベースの情報を推測したり、データベースの可用性に影響を与えたりするおそれがあります。影響を受けるのは4.0.0〜4.4.0などの各版で、修正版は4.0.0.387、4.1.0.251、4.2.0.191、4.3.0.102、4.4.0.66などです。 CVE-2026-2613
- 中 4.4 When an Event Publisher output adapter is configured with properties that are irrelevant to its... CVE-2026-18800
- 中 4.6 The user search function within the management console fails to properly encode user-supplied... CVE-2024-7075
- 中 4.8 The account lock feature fails to correctly enforce account lockouts on the primary user store... CVE-2024-5617
- 重大 9.4 解説あり WSO2 API Managerに管理操作を許す脆弱性、修正版あり WSO2 API ManagerのSystem REST APIsに、権限の低いユーザーが管理操作を実行できる脆弱性があります。CVSS v3は9.4です。該当版を洗い出し、修正版の更新レベルへ上げてください。 CVE-2025-11969
- 低 3.1 When the `allowed_scopes` configuration is enabled, the OAuth2 token introspection mechanism does... When the allowed_scopes configuration is enabled, the OAuth2 token introspection mechanism does... CVE-2026-3583
- 中 6.1 The authentication endpoint generates an error message that includes reflected data directly from... CVE-2026-11854
- 高 8.3 WSO2製品に認証不要でサーバーの代わりに内部リソースへ接続される脆弱性 WSO2のAPI Manager、Identity Serverなど複数の製品に、サーバーに任意のネットワーク先へリクエストを送らせる脆弱性(CVE-2025-14260)が見つかりました。認証なしで攻撃されるおそれがあり、CVSSは8.3です。修正版が公開されているため、利用中の製品と版を確認し、修正版へ更新してください。 CVE-2025-14260
- 中 5.8 When a WSO2 product is configured to use an external user store, the system fails to adequately... CVE-2024-7478
- 中 4.0 The product failed to enforce validation constraints on user-supplied input in URL parameters,... CVE-2024-6423
- 中 6.1 The Authentication Endpoint accepts user-supplied input without sufficient encoding, allowing for... CVE-2024-5139
- 中 5.4 The callback URL parameter in WSO2 API Manager fails to validate user-supplied input, allowing it... CVE-2024-4989
- 中 4.8 The RemoteUserStoreManagerService does not sufficiently validate password change attempts when... CVE-2024-2323
- 中 4.9 脆弱性情報 脆弱性 (CVE-2025-7203) が報告されています。機密情報が外部に流出する可能性があります。 CVE-2025-7203
- 中 5.4 脆弱性情報 脆弱性 (CVE-2025-7043) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2025-7043
- 中 4.3 クロスサイトスクリプティング XSS (クロスサイトスクリプティング) (CVE-2025-6623) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2025-6623
- 中 6.5 脆弱性情報 脆弱性 (CVE-2025-13173) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2025-13173
- 低 2.7 コードインジェクション CVE-2024-4412
- 重大 9.1 解説あり WSO2管理コンソールにコード実行の弱点、助言が公開 WSO2 製品の Management Console に、JDBC ユーザーストアの設定入力の検証不備があり、サーバー上で任意のコードを実行される恐れがあります。深刻度は CVSS 9.1 で「重大」です。実際の攻撃での悪用は、現時点で確認されたという情報はありません。WSO2 製品を運用している組織は、ベンダー公式の助言で自社の版が該当するかを確認し、管理コンソールへのアクセス元を絞ってください。 CVE-2024-4457
- 高 8.7 SchemaValidator Mediatorで外部実体参照による情報漏えいのおそれ SchemaValidator Mediatorの XML とスキーマ検証機能で、外部実体(XXE)の解決が行われる場合があります。特権を持つ攻撃者が細工した XML を送ると、サーバ上のファイルを読み取られたり、意図しない宛先へ通信させられたりするおそれがあります。修正版の有無については、最新の情報を確認してください。 CVE-2026-3415
- 中 5.4 Wso2 Api Control Plane の脆弱性 Wso2 Api Control Plane に 脆弱性 (CVE-2026-0637) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-0637
- 重大 9.1 WSO2 API Managerで管理者権限者により任意ファイルをアップロードされ遠隔からコードを実行される 管理者権限を持つ悪意ある利用者が、システムのREST APIを通じて任意のファイルをデプロイ環境内の利用者が操作できる場所にアップロードできる脆弱性です。特別に細工したペイロードを使うと遠隔からコードを実行されるおそれがあります。影響を受けるのは org.wso2.carbon.apimgt の 9.32.167 より前の版で、修正版として 9.32.167 が提供されています。 CVE-2025-13590