CVE-2025-9312 in API Manager
Riassunto
di VulDB • 19/06/2026
È presente una vulnerabilità dovuta alla mancata applicazione dell'autenticazione nell'implementazione del mutual TLS (mTLS) utilizzata dalle System REST API e dai servizi SOAP in diversi prodotti WSO2. A causa di una convalida impropria dell'autenticazione basata su certificato client in determinate configurazioni predefinite, i componenti interessati potrebbero consentire richieste non autenticate anche quando mTLS è abilitato. Questa condizione si verifica quando ci si affida alle impostazioni predefinite di mTLS per le System REST API o quando l'authenticator mTLS è abilitato per i servizi SOAP, facendo sì che queste interfacce accettino richieste senza applicare ulteriori meccanismi di autenticazione.
Lo sfruttamento riuscito consente a un attore malintenzionato con accesso alla rete agli endpoint interessati di ottenere privilegi amministrativi ed eseguire operazioni non autorizzate. La vulnerabilità è sfruttabile solo quando i flussi mTLS colpiti sono abilitati e accessibili in una determinata distribuzione. Altri meccanismi di autenticazione basati su certificati, come l'autenticazione client OAuth Mutual TLS e i flussi di accesso X.509, non sono interessati; inoltre, le API servite tramite il Gateway delle API (API Gateway) di WSO2 API Manager rimangono indenni.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.