CVE-2025-2905 in API Manager
摘要
由 VulDB • 2026-06-29
WSO2 API Manager 的网关组件中存在一个 XML External Entity (XXE) 漏洞，这是由于在构造的 URL 路径中对 XML 输入验证不足所致。用户提供的 XML 在不加适当限制的情况下被解析，从而允许外部实体解析。
该漏洞可被未经身份验证的远程攻击者利用，以读取服务器文件系统上的文件或执行拒绝服务（DoS）攻击。
* 在运行 JDK 7 或早期 JDK 8 的系统上，可能会暴露完整的文件内容。 * 在较新版本的 JDK 8 及更高版本中，由于 XML 解析器行为的改进，可能只能读取文件的第一行。 * “Billion Laughs”（十亿笑声）等 DoS 攻击载荷可能导致服务中断。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.