PT-2025-42462 · Wso2 · Wso2 Api Manager
Crnković
·
Publicado
2025-10-16
·
Atualizado
2025-10-29
·
CVE-2025-9152
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
WSO2 API Manager (versões afetadas não especificadas)
Descrição
Existe um problema de gerenciamento impróprio de privilégios no WSO2 API Manager devido à falta de verificações de autenticação e autorização no endpoint Dynamic Client Registration (DCR) de keymanager-operations. Um usuário mal-intencionado pode explorar essa falha para gerar tokens de acesso com privilégios elevados, potencialmente resultando em acesso administrativo e na capacidade de executar operações não autorizadas. O endpoint afetado é
/keymanager-operations/DCR. A operação vulnerável envolve a geração de tokens de acesso. Os tokens de acesso são gerados com privilégios elevados.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
LPE
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wso2 Api Manager