Broken Access Control via System REST APIs in Multiple WSO2 Products Allows Unauthorized Administrative Actions
CVSS Skor
9.4
EPSS İhtimal
—
Risk Skoru
0.9
Yayın
5 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
CVE-2025-11969, WSO2 ürünlerinde Sistem REST API'lerinde hatalı erişim kontrolü nedeniyle düşük yetkili kullanıcıların yönetim işlemlerini gerçekleştirmesine izin verir. Bu kritik (9.4) istismar, yetkisiz yapılandırma ve veri erişimine yol açabilir.
Yetkisiz yönetim, sistem bütünlüğünü ve veri gizliliğini tehlikeye atar.
Ne yapılmalı?
- WSO2 güvenlik duyurusunu izleyerek yama yayınlandığında uygulayın
- API erişimini güvenilir ağlarla sınırlayın
- En düşük ayrıcalık ilkesini uygulayın ve rollerinizi gözden geçirin
- API günlüklerini şüpheli etkinlikler için izleyin
- Web uygulama güvenlik duvarı (WAF) gibi ek koruma katmanları ekleyin
- Gerekirse etkilenen API'leri geçici olarak devre dışı bırakın
Kanıt zinciri ve kaynaklar
CVE-2025-11969, WSO2 ürünlerinde Sistem REST API'leri erişim kontrolünü doğru uygulamaz; düşük yetkili kullanıcılar yönetim işlemleri yapabilir.
Bu zafiyetin CVSS baz skoru 9.4 olup, kritik olarak sınıflandırılmıştır.
Resmî kaynaklarda yama durumu doğrulanamadı; yama durumu UNKNOWN olarak rapor edilmiştir.
Kaynaklardaki teknik metni göster
The System REST APIs do not correctly enforce access control mechanisms, allowing users with lower privilege roles to execute administrative actions that should be restricted. This weakness permits unauthorized operations on the affected product. Successful exploitation could enable a malicious actor to perform unauthorized administrative operations, including executing administrative functions. APIs exposed through the WSO2 API Manager's API Gateway are not affected by this vulnerability.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
CWE: CWE-285
Açıklama kaynak kayıtlardan otomatik derlendi. Puanlar, aktif sömürü, yama ve exploit durumları doğrudan kaynaklardan gelir.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2025-11969 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | wso2 | WSO2 API Manager | İncele |
| 2 | wso2 | WSO2 Identity Server as Key Manager | İncele |
| 3 | wso2 | WSO2 Open Banking AM | İncele |
| 4 | wso2 | WSO2 Open Banking IAM | İncele |
| 5 | wso2 | WSO2 API Control Plane | İncele |
| 6 | wso2 | WSO2 Universal Gateway | İncele |
| 7 | wso2 | WSO2 Traffic Manager | İncele |
| 8 | wso2 | WSO2 Carbon API Manager Rest API Utility | İncele |
| 9 | wso2 | WSO2 Carbon API Manager Rest API Common Functions | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 9.4 | CVSS V31 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L | NVD |
| 9.4 | CVSS V3_1 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L | CVE CNA |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2025-11969 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2025-11969 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2025-11969"