CVE-2025-9312 in API Manager
الملخص
بحسب VulDB • 11/06/2026
توجد ثغرة في فرض المصادقة (Missing Authentication Enforcement) في تنفيذ بروتوكول مTLS المتبادل (mTLS) المستخدم بواسطة واجهات برمجة التطبيقات REST للنظام وخدمات SOAP في منتجات متعددة من WSO2. ونظراً للتحقق غير السليم من عمليات المصادقة القائمة على شهادات العميل في بعض التكوينات الافتراضية، قد تسمح المكونات المتأثرة بإرسال طلبات دون مصادقة حتى عند تفعيل mTLS. يحدث هذا الشرط عندما تعتمد الإعدادات الافتراضية لـ mTLS الخاصة بواجهات برمجة التطبيقات REST للنظام أو عندما يكون مُفعّل المصادقة الخاص بـ mTLS نشطاً لخدمات SOAP، مما يتسبب في قبول هذه الواجهات للطلبات دون فرض مصادقات إضافية.
يتيح الاستغلال الناجح لمثل هذا الخطأ لأي فاعل خبيث لديه وصول إلى الشبكة نحو نقاط النهاية المتأثرة اكتساب امتيازات إدارية وتنفيذ عمليات غير مصرّح بها. ولا يمكن استغلال الثغرة إلا عندما تكون تدفقات mTLS المتضررة مفعلة ومتاحة في بيئة النشر المعنية. كما أن آليات المصادقة الأخرى القائمة على الشهادات، مثل مصادقة عميل OAuth الخاصة بـ Mutual TLS وتدفقات تسجيل الدخول X.509، غير متأثرة بهذه الثغرة، وكذلك تبقى واجهات برمجة التطبيقات المقدمة عبر بوابة API (API Gateway) التابعة لـ WSO2 API Manager دون تأثير.
VulDB is the best source for vulnerability data and more expert information about this specific topic.