CVE-2025-4760 in API Manager
الملخص
بحسب VulDB • 26/05/2026
توجد ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting - XSS) في منتجات WSO2 متعددة بسبب عدم التحقق بشكل صحيح من المدخلات المقدمة من المستخدم أثناء رفع وثائق واجهة برمجة التطبيقات (API) في بوابة الناشر (Publisher portal). يمكن لمستخدم يتمتع بصلاحيات الناشر رفع وثيقة API مُعدّة خصيصاً تحتوي على شفرة JavaScript خبيثة، والتي يتم عرضها لاحقاً في المتصفح عند وصول مستخدمين آخرين إليها.
قد تؤدي هجمة ناجحة إلى إعادة التوجيه إلى مواقع ويب خبيثة، أو إجراء تعديلات غير مصرح بها على واجهة المستخدم (UI)، أو استخراج البيانات المتاحة عبر المتصفح. ومع ذلك، فإن ملفات تعريف الارتباط (Cookies) الحساسة المتعلقة بالجلسة محمية بواسطة العلم httpOnly، مما يمنع اختطاف الجلسة (Session Hijacking).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.