PT-2025-39522 · Wso2 · Wso2 Products

Luk Luk · Publicado 2025-09-26 · Atualizado 2025-10-06 · CVE-2025-1862

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Produtos WSO2 (versões afetadas não especificadas)

Descrição Existe uma vulnerabilidade de upload arbitrário de arquivos devido à validação insuficiente dos nomes de arquivos enviados pelos usuários no endpoint do serviço SOAP de upload BPEL. Um atacante com acesso administrativo pode fazer upload de arquivos para um local controlado pelo usuário no servidor. A exploração disso pode permitir que um atacante faça upload de um payload malicioso e obtenha execução remota de código (RCE), comprometendo potencialmente o servidor e seus dados. O endpoint vulnerável é '/services/bpel/upload'. A vulnerabilidade envolve o tratamento inadequado de nomes de arquivos fornecidos pelo usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2025-1862

Produtos afetados

Wso2 Products

Referências · 6

• https://t.me/cveNotify/136514 · Publicação no Telegram
• https://t.me/cveNotify/137496 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-1862 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1971539553333735730 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-1862 · Nota de Segurança
• https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2025-3992 · Aviso do Fabricante