PT-2025-39175 · Wso2 · Wso2 Products

CVE-2025-4760 · Publicado 2025-09-23 · Atualizado 2025-11-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Produtos WSO2 (versões afetadas não especificadas)

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado autenticado devido à validação insuficiente de entrada fornecida pelo usuário ao fazer upload de documentos de API dentro do portal Publisher. Um atacante com privilégios de publisher pode fazer upload de um documento de API malicioso contendo JavaScript. Quando outros usuários acessam este documento, o JavaScript é executado em seus navegadores. Isso pode levar ao redirecionamento para sites maliciosos, alterações não autorizadas na interface do usuário ou ao roubo de dados acessíveis através do navegador. Cookies de sessão sensíveis são protegidos pela flag httpOnly, prevenindo o sequestro de sessão.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-4760

GHSA-CMJC-QP7J-XGWR

Produtos afetados

Wso2 Products

Referências · 11

• https://github.com/wso2/carbon-apimgt · Nota
• https://github.com/wso2/carbon-apimgt/commit/1b3496c072ec68aaaf726996e2caa76f07c1adca · Nota
• https://github.com/wso2/carbon-apimgt/pull/13099 · Nota
• https://t.me/cveNotify/143665 · Publicação no Telegram
• https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2025-4104 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-4760 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1970621806911594777 · Publicação no Twitter
• https://t.me/CVEtracker/33171 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-cmjc-qp7j-xgwr · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-4760 · Nota de Segurança
• https://mvnrepository.com/artifact/org.wso2.carbon.apimgt/org.wso2.carbon.apimgt.api/9.31.117 · Nota