CVE-2025-4760 in API Manager
Résumé
par VulDB • 26/05/2026
Une vulnérabilité de type cross-site scripting (XSS) stocké (stored XSS) authentifié existe dans plusieurs produits WSO2 en raison d'une validation incorrecte des données fournies par l'utilisateur lors du téléchargement de documents API dans le portail Publisher. Un utilisateur disposant des privilèges de publisher peut télécharger un document API truqué contenant du JavaScript malveillant, qui sera ensuite exécuté dans le navigateur lors de l'accès par d'autres utilisateurs.
Une attaque réussie pourrait entraîner une redirection vers des sites web malveillants, des modifications non autorisées de l'interface utilisateur (UI) ou l'exfiltration de données accessibles via le navigateur. Toutefois, les cookies sensibles liés à la session sont protégés par le drapeau httpOnly, empêchant ainsi le détournement de session (session hijacking).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.