CVE-2026-4249
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Mechanizm obsługi zdarzeń throttlingu w wielu produktach WSO2 akceptuje dostarczane przez użytkownika ładunki JSON bez wystarczającej walidacji ich struktury i zawartości. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie złośliwych danych JSON, co może prowadzić do trwałej odmowy usługi.
Ocena ryzyka
Skuteczne wykorzystanie tej podatności może zakłócić działanie API Gateway, uniemożliwiając przetwarzanie legalnego ruchu API i wpływając na pełną dostępność usługi. Odmowa usługi jest trwała i wymaga ręcznej interwencji w celu przywrócenia normalnego działania.
Rekomendacja
Należy niezwłocznie zaktualizować wszystkie produkty WSO2 do wersji zawierającej poprawkę oraz wdrożyć dodatkową walidację ładunków JSON na poziomie zapory aplikacyjnej (WAF).
Oryginalny opis (angielski, źródło NVD)
The throttling event handling mechanism in multiple WSO2 products accepts user-supplied JSON payloads without sufficient validation of their structure and content. This allows an unauthenticated remote attacker to inject malicious JSON data that can lead to a persistent denial of service condition. Successful exploitation of this vulnerability can disrupt the API Gateway, preventing legitimate API traffic from being processed and impacting complete service availability. The denial of service is persistent, requiring manual intervention to restore normal operations.