p PatchFirst

CVE-2025-6623

CVE-2025-6623 · Stored Cross-Site Scripting via XML Input in Multiple WSO2 Products Allows UI Manipulation and Redirection

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The carbon console accepts user-supplied XML input without sufficiently encoding potentially executable content, allowing for the injection of malicious scripts. Successful exploitation allows a remote attacker to execute arbitrary JavaScript in the context of a victim's browser, leading to actions such as redirecting the user to a malicious website or modifying the web page's user interface. Session hijacking is not possible as sensitive session cookies are protected by the httpOnly flag.

CVSS 4.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Затронутые продукты и версии

  • wso2 api manager

    Версии
    • ≥ 0, < 3.2.0: Неизвестно (custom)
    • ≥ 3.2.0, < 3.2.0.433: Затронуто (custom)
    • ≥ 3.2.1, < 3.2.1.53: Затронуто (custom)
    • ≥ 4.1.0, < 4.1.0.215: Затронуто (custom)
    • ≥ 4.2.0, < 4.2.0.153: Затронуто (custom)
    • ≥ 4.3.0, < 4.3.0.66: Затронуто (custom)
    • ≥ 4.4.0, < 4.4.0.29: Затронуто (custom)
    • ≥ 4.5.0, < 4.5.0.11: Затронуто (custom)

    Обновитесь до 3.2.0.433; Обновитесь до 3.2.1.53; Обновитесь до 4.1.0.215; Обновитесь до 4.2.0.153; Обновитесь до 4.3.0.66; Обновитесь до 4.4.0.29; Обновитесь до 4.5.0.11

  • wso2 universal gateway

    Версии
    • ≥ 0, < 4.5.0: Неизвестно (custom)
    • ≥ 4.5.0, < 4.5.0.11: Затронуто (custom)

    Обновитесь до 4.5.0.11

  • wso2 traffic manager

    Версии
    • ≥ 0, < 4.5.0: Неизвестно (custom)
    • ≥ 4.5.0, < 4.5.0.11: Затронуто (custom)

    Обновитесь до 4.5.0.11

  • wso2 api control plane

    Версии
    • ≥ 0, < 4.5.0: Неизвестно (custom)
    • ≥ 4.5.0, < 4.5.0.12: Затронуто (custom)

    Обновитесь до 4.5.0.12

  • wso2 carbon event publisher ui

    Версии
    • ≥ 5.2.26, < 5.2.26.19: Затронуто (custom)
    • ≥ 5.2.41, < 5.2.41.6: Затронуто (custom)
    • ≥ 5.2.57, < 5.2.57.7: Затронуто (custom)
    • ≥ 5.3.5, < 5.3.5.4: Затронуто (custom)
    • ≥ 5.3.11, < 5.3.11.4: Затронуто (custom)
    • ≥ 5.3.15, < 5.3.15.3: Затронуто (custom)
    • ≥ 5.3.20, < 5.3.20.1: Затронуто (custom)

    Обновитесь до 5.2.26.19; Обновитесь до 5.2.41.6; Обновитесь до 5.2.57.7; Обновитесь до 5.3.11.4; Обновитесь до 5.3.15.3; Обновитесь до 5.3.20.1; Обновитесь до 5.3.5.4

  • wso2 carbon event receiver ui

    Версии
    • ≥ 5.2.26, < 5.2.26.19: Затронуто (custom)
    • ≥ 5.2.41, < 5.2.41.6: Затронуто (custom)
    • ≥ 5.2.57, < 5.2.57.7: Затронуто (custom)
    • ≥ 5.3.5, < 5.3.5.4: Затронуто (custom)
    • ≥ 5.3.11, < 5.3.11.4: Затронуто (custom)
    • ≥ 5.3.15, < 5.3.15.3: Затронуто (custom)
    • ≥ 5.3.20, < 5.3.20.1: Затронуто (custom)

    Обновитесь до 5.2.26.19; Обновитесь до 5.2.41.6; Обновитесь до 5.2.57.7; Обновитесь до 5.3.11.4; Обновитесь до 5.3.15.3; Обновитесь до 5.3.20.1; Обновитесь до 5.3.5.4

Первоисточники

Проверьте свой сервер →