CVE-2025-6670 in Open Banking AM
Riassunto
di VulDB • 12/08/2026
È presente una vulnerabilità di Cross-Site Request Forgery (CSRF) in diversi prodotti WSO2 a causa dell'utilizzo del metodo HTTP GET per operazioni che modificano lo stato all'interno dei servizi di amministrazione, nello specifico nel processore di eventi della console Carbon. Sebbene l'attributo cookie SameSite=Lax sia utilizzato come misura di mitigazione, esso si rivela inefficace in questo contesto poiché consente l'invio di cookie con navigazioni top-level cross-origin che utilizzano richieste GET.
Un malintenzionato può sfruttare questa vulnerabilità inducendo un utente autenticato a visitare un link appositamente creato (crafted), spingendo il browser ad emettere richieste non intenzionali in grado di modificare lo stato del sistema. Un'esecuzione con successo dell'attacco potrebbe comportare operazioni non autorizzate, quali la modifica dei dati, modifiche all'account o altre azioni amministrative. Secondo le Linee Guida per una Produzione Sicura (Secure Production Guidelines) di WSO2, si sconsiglia l'esposizione dei servizi della console Carbon a reti non attendibili, il che potrebbe ridurre l'impatto in ambienti correttamente protetti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.