Micro Integrator
Уязвимости
5
Эксплуатируемые
0
Макс. CVSS
7.5
Макс. EPSS
0.40481
Распределение по критичности
Критический
0
Высокий
2
Средний
3
Низкий
0
Затронутые диапазоны версий
1.2.0–1.2.0.1574.0.0–4.0.0.145
Также сопоставлено как (исходные строки): api_manager_analytics,api_microgateway,identity_server_as_key_manager,identity_server,identity_server_analytics,universal_gateway,api_control_plane,enterprise_integrator,traffic_manager,data_analytics_server,api_manager,micro_integrator
Топ уязвимостей
CVE-2023-6836Выявлено, что несколько продуктов WSO2 уязвимы для атаки XML External Entity (XXE), которая злоупотребляет широко доступной, но редко используемой функцией XML-парсеров для доступа к конфиденциальной информации.
CVE-2025-11093Уязвимость произвольного исполнения кода существует в нескольких продуктах WSO2 из-за недостаточных ограничений в двигателях GraalJS и NashornJS Script Mediator. Аутентифицированные пользователи с повышенными привилегиями могут выполнять произвольный код в среде выполнения интеграции.
По умолчанию доступ к этим движкам сценариев ограничен администраторами в WSO2 Micro Integrator и WSO2 Enterprise Integrator, в то время как в WSO2 API Manager доступ распространяется как на администраторов, так и на создателей API. Это может позволить доверенным, но привилегированным пользователям совершать несанкционированные действия или скомпрометировать среду исполнения.
CVE-2024-4598Уязвимость раскрытия информации существует в нескольких продуктах WSO2 из-за неправильной реализации посредника обогащения. Аутентифицированные пользователи могут просматривать непреднамеренные бизнес-данные из других контекстов посредничества, поскольку внутреннее состояние не изолировано или не очищено должным образом между выполнениями. Эта уязвимость не затрагивает аутентификационные данные или токены доступа, но может привести к утечке конфиденциальной бизнес-информации, обрабатываемой во время потоков сообщений. Для устранения уязвимости рекомендуется обновить версию продукта до исправленной [1].
Источники:
- [1] https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2024-3355/
CVE-2022-29548Проблема отраженного XSS существует в консоли управления нескольких продуктов WSO2. Это затрагивает API Manager 2.2.0, 2.5.0, 2.6.0, 3.0.0, 3.1.0, 3.2.0 и 4.0.0; API Manager Analytics 2.2.0, 2.5.0 и 2.6.0; API Microgateway 2.2.0; Data Analytics Server 3.2.0; Enterprise Integrator 6.2.0, 6.3.0, 6.4.0, 6.5.0 и 6.6.0; IS as Key Manager 5.5.0, 5.6.0, 5.7.0, 5.9.0 и 5.10.0; Identity Server 5.5.0, 5.6.0, 5.7.0, 5.9.0, 5.10.0 и 5.11.0; Identity Server Analytics 5.5.0 и 5.6.0; и WSO2 Micro Integrator 1.0.0.
CVE-2020-17453WSO2 Management Console до версии 5.10 допускает XSS через параметр msgId carbon/admin/login.jsp.