WSO2製品に認証不要でサーバーの代わりに内部リソースへ接続される脆弱性
Summary
WSO2のAPI Manager、Identity Serverなど複数の製品に、サーバーに任意のネットワーク先へリクエストを送らせる脆弱性(CVE-2025-14260)が見つかりました。認証なしで攻撃されるおそれがあり、CVSSは8.3です。修正版が公開されているため、利用中の製品と版を確認し、修正版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WSO2のAPI Manager、Identity Serverなど複数の製品に、サーバーに任意のネットワーク先へリクエストを送らせる脆弱性(CVE-2025-14260)が見つかりました。認証なしで攻撃されるおそれがあり、CVSSは8.3です。修正版が公開されているため、利用中の製品と版を確認し、修正版へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| WSO2 | WSO2 API Manager |
≥ 3.1.0, < 3.1.0.354 ≥ 3.2.0, < 3.2.0.458 ≥ 3.2.1, < 3.2.1.99 ≥ 4.0.0, < 4.0.0.379 ≥ 4.1.0, < 4.1.0.265 ≥ 4.2.0, < 4.2.0.205 +2 more |
3.1.0.354 3.2.0.458 3.2.1.99 4.0.0.379 4.1.0.265 4.2.0.205 |
| WSO2 | WSO2 Identity Server as Key Manager |
≥ 5.10.0, < 5.10.0.374 |
5.10.0.374 |
| WSO2 | WSO2 Open Banking AM |
≥ 2.0.0, < 2.0.0.403 |
2.0.0.403 |
| WSO2 | WSO2 Open Banking IAM |
≥ 2.0.0, < 2.0.0.423 |
2.0.0.423 |
| WSO2 | WSO2 Identity Server |
≥ 5.10.0, < 5.10.0.383 ≥ 5.11.0, < 5.11.0.430 ≥ 6.0.0, < 6.0.0.256 ≥ 6.1.0, < 6.1.0.257 ≥ 7.0.0, < 7.0.0.134 |
5.10.0.383 5.11.0.430 6.0.0.256 6.1.0.257 7.0.0.134 |
| WSO2 | SAML2 SSO Authenticator UI Bundle |
≥ 5.5.0, < 5.5.0.2 ≥ 5.5.2, < 5.5.2.5 ≥ 5.5.9, < 5.5.9.4 ≥ 5.5.10, < 5.5.10.1 ≥ 5.6.4, < 5.6.4.1 ≥ 5.7.2, < 5.7.2.1 +3 more |
5.5.0.2 5.5.2.5 5.5.9.4 5.5.10.1 5.6.4.1 5.7.2.1 |
| WSO2 | WSO2 Carbon UI |
≥ 4.6.0, < 4.6.0.2300 ≥ 4.6.1, < 4.6.1.165 ≥ 4.6.3, < 4.6.3.46 ≥ 4.6.4, < 4.6.4.28 ≥ 4.7.1, < 4.7.1.79 ≥ 4.8.1, < 4.8.1.50 +4 more |
4.6.0.2300 4.6.1.165 4.6.3.46 4.6.4.28 4.7.1.79 4.8.1.50 |
Original description The description as published by the source.
Due to the improper implementation of access control rules, the WSO2 product accepts user-supplied input related to resource location without enforcing expected validation constraints. This can be exploited by an unauthenticated actor to direct the server to make requests to arbitrary network locations.
Exploiting this vulnerability allows a malicious actor to access both internal and external resources, available through the network or filesystem, that are reachable by the WSO2 product. This could potentially lead to unauthorized access to sensitive data and systems.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security.docs.wso2.com
- web nvd.nist.gov
- web security.docs.wso2.com
- web github.com