高 8.3

WSO2製品に認証不要でサーバーの代わりに内部リソースへ接続される脆弱性

CVE-2025-14260 SecPulse初出 10月29日 4:21

概要

WSO2のAPI Manager、Identity Serverなど複数の製品に、サーバーに任意のネットワーク先へリクエストを送らせる脆弱性(CVE-2025-14260)が見つかりました。認証なしで攻撃されるおそれがあり、CVSSは8.3です。修正版が公開されているため、利用中の製品と版を確認し、修正版へ更新してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
WSO2	WSO2 API Manager	3.1.0 以上 3.1.0.354 未満 3.2.0 以上 3.2.0.458 未満 3.2.1 以上 3.2.1.99 未満 4.0.0 以上 4.0.0.379 未満 4.1.0 以上 4.1.0.265 未満 4.2.0 以上 4.2.0.205 未満ほか 2 件	3.1.0.354 3.2.0.458 3.2.1.99 4.0.0.379 4.1.0.265 4.2.0.205
WSO2	WSO2 Identity Server as Key Manager	5.10.0 以上 5.10.0.374 未満	5.10.0.374
WSO2	WSO2 Open Banking AM	2.0.0 以上 2.0.0.403 未満	2.0.0.403
WSO2	WSO2 Open Banking IAM	2.0.0 以上 2.0.0.423 未満	2.0.0.423
WSO2	WSO2 Identity Server	5.10.0 以上 5.10.0.383 未満 5.11.0 以上 5.11.0.430 未満 6.0.0 以上 6.0.0.256 未満 6.1.0 以上 6.1.0.257 未満 7.0.0 以上 7.0.0.134 未満	5.10.0.383 5.11.0.430 6.0.0.256 6.1.0.257 7.0.0.134
WSO2	SAML2 SSO Authenticator UI Bundle	5.5.0 以上 5.5.0.2 未満 5.5.2 以上 5.5.2.5 未満 5.5.9 以上 5.5.9.4 未満 5.5.10 以上 5.5.10.1 未満 5.6.4 以上 5.6.4.1 未満 5.7.2 以上 5.7.2.1 未満ほか 3 件	5.5.0.2 5.5.2.5 5.5.9.4 5.5.10.1 5.6.4.1 5.7.2.1
WSO2	WSO2 Carbon UI	4.6.0 以上 4.6.0.2300 未満 4.6.1 以上 4.6.1.165 未満 4.6.3 以上 4.6.3.46 未満 4.6.4 以上 4.6.4.28 未満 4.7.1 以上 4.7.1.79 未満 4.8.1 以上 4.8.1.50 未満ほか 4 件	4.6.0.2300 4.6.1.165 4.6.3.46 4.6.4.28 4.7.1.79 4.8.1.50

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Due to the improper implementation of access control rules, the WSO2 product accepts user-supplied input related to resource location without enforcing expected validation constraints. This can be exploited by an unauthenticated actor to direct the server to make requests to arbitrary network locations.

Exploiting this vulnerability allows a malicious actor to access both internal and external resources, available through the network or filesystem, that are reachable by the WSO2 product. This could potentially lead to unauthorized access to sensitive data and systems.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory