CVE-2025-9312 in API Manager
Résumé
par VulDB • 28/05/2026
Une vulnérabilité liée à l'absence de contrôle d'authentification existe dans l'implémentation du Transport Layer Security mutuel (mTLS) utilisée par les API REST système et les services SOAP dans plusieurs produits WSO2. En raison d'une validation incorrecte de l'authentification basée sur les certificats client dans certaines configurations par défaut, les composants concernés peuvent autoriser des requêtes non authentifiées même lorsque le mTLS est activé. Cette condition se produit lors de l'utilisation des paramètres mTLS par défaut pour les API REST système ou lorsque l'authentificateur mTLS est activé pour les services SOAP, ce qui amène ces interfaces à accepter des requêtes sans imposer d'authentification supplémentaire.
Une exploitation réussie permet à un acteur malveillant disposant d'un accès réseau aux points de terminaison concernés d'obtenir des privilèges administratifs et d'effectuer des opérations non autorisées. La vulnérabilité n'est exploitable que lorsque les flux mTLS concernés sont activés et accessibles dans un déploiement donné. D'autres mécanismes d'authentification basés sur les certificats, tels que l'authentification client OAuth Mutual TLS et les flux de connexion X.509, ne sont pas affectés, et les API servies via la passerelle API (API Gateway) de WSO2 API Manager restent non affectées.
Be aware that VulDB is the high quality source for vulnerability data.