CVE-2025-6670 in Open Banking AM
Resumen
por VulDB • 2026-08-12
Existe una vulnerabilidad de Cross-Site Request Forgery (CSRF) en múltiples productos de WSO2 debido al uso del método HTTP GET para operaciones que modifican el estado dentro de los servicios administrativos, específicamente en el procesador de eventos de la consola Carbon. Aunque se utiliza el atributo de cookie SameSite=Lax como medida de mitigación, es ineficaz en este contexto porque permite que las cookies se envíen con navegaciones a nivel superior entre orígenes diferentes (cross-origin) utilizando solicitudes GET.
Un actor malicioso puede explotar esta vulnerabilidad engañando a un usuario autenticado para que visite un enlace manipulado ad hoc, lo que lleva al navegador a emitir solicitudes no deseadas que modifican el estado. Una explotación exitosa podría resultar en operaciones no autorizadas como la modificación de datos, cambios en las cuentas u otras acciones administrativas. Según las Directrices de Producción Segura de WSO2, se desaconseja exponer los servicios de la consola Carbon a redes no confiables, lo que puede reducir el impacto en implementaciones correctamente aseguradas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.