CVE-2025-6670 in Open Banking AM
Zusammenfassung
von VulDB • 06.07.2026
Eine Cross-Site Request Forgery (CSRF)-Schwachstelle besteht in mehreren WSO2-Produkten aufgrund der Verwendung der HTTP GET-Methode für zustandsändernde Operationen innerhalb von Admin-Diensten, speziell im Ereignisprozessor der Carbon-Konsole. Obwohl das Cookie-Attribut SameSite=Lax als Minderungsmaßnahme eingesetzt wird, ist es in diesem Kontext unwirksam, da es erlaubt, Cookies mit Cross-Origin-Navigationen auf oberster Ebene zu senden, die GET-Anfragen verwenden.
Ein böswilliger Akteur kann diese Schwachstelle ausnutzen, indem er einen authentifizierten Benutzer dazu gebracht wird, eine manipulierte URL aufzurufen, wodurch der Browser unbeabsichtigte zustandsändernde Anfragen sendet. Eine erfolgreiche Ausnutzung könnte zu unbefugten Operationen wie Datenmodifikationen, Kontoveränderungen oder anderen administrativen Aktionen führen. Gemäß den WSO2 Secure Production Guidelines wird die Exposition von Carbon-Konsole-Diensten gegenüber nicht vertrauenswürdigen Netzwerken abgeraten, was die Auswirkungen in ordnungsgemäß gesicherten Bereitstellungen verringern kann.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.