CVE-2025-4760 in API Manager
Tóm tắt
Bởi VulDB • 26/05/2026
Một lỗ hổng lưu trữ cross-site scripting (XSS) đã được xác thực tồn tại trong nhiều sản phẩm WSO2 do việc xác thực không đúng cách đối với dữ liệu do người dùng cung cấp trong quá trình tải lên tài liệu API trên cổng thông tin Publisher. Người dùng có đặc quyền publisher có thể tải lên một tài liệu API được tạo ra đặc biệt chứa mã JavaScript độc hại, sau đó mã này sẽ được trình duyệt hiển thị khi được truy cập bởi các người dùng khác.
Một cuộc tấn công thành công có thể dẫn đến việc chuyển hướng đến các trang web độc hại, sửa đổi giao diện người dùng (UI) trái phép hoặc đánh cắp dữ liệu có thể truy cập được qua trình duyệt. Tuy nhiên, các cookie nhạy cảm liên quan đến phiên làm việc được bảo vệ bởi cờ httpOnly, ngăn chặn việc đánh cắp phiên (session hijacking).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.