Aktywnie wykorzystywana w atakach

WSO2 Multiple Products Unrestrictive Upload of File Vulnerability

WSO2 - Multiple Products · Figuruje w katalogu CISA KEV od 2022-04-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2022-29464

KrytyczneCVSS 9.8KEV

Opublikowano: 18/04/2022(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.

Ocena ryzyka

Atakujący może przesłać złośliwy plik i wykonać dowolny kod na serwerze WSO2, co może prowadzić do pełnego przejęcia systemu i naruszenia danych.

Rekomendacja

Zaktualizuj produkty WSO2 do wersji, które zawierają poprawkę, oraz ogranicz dostęp do punktów końcowych przesyłania plików.

Inne podatności w WSO2 products

CVE-2026-1728Krytyczne
Tokeny wydawane użytkownikowi z niskimi uprawnieniami nie są wystarczająco ograniczone, co pozwala na ich użycie do dostępu do administracyjnych API REST produktu. Niskouprzywilejowany użytkownik może wywołać API REST administracyjne produktów WSO2.

Oryginalny opis (angielski, źródło NVD)

Certain WSO2 products allow unrestricted file upload with resultant remote code execution. The attacker must use a /fileupload endpoint with a Content-Disposition directory traversal sequence to reach a directory under the web root, such as a ../../../../repository/deployment/server/webapps directory. This affects WSO2 API Manager 2.2.0 up to 4.0.0, WSO2 Identity Server 5.2.0 up to 5.11.0, WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0 and 5.6.0, WSO2 Identity Server as Key Manager 5.3.0 up to 5.11.0, WSO2 Enterprise Integrator 6.2.0 up to 6.6.0, WSO2 Open Banking AM 1.4.0 up to 2.0.0 and WSO2 Open Banking KM 1.4.0, up to 2.0.0.