CVE-2025-13590
Vulnérabilité critique dans WSO2 API Manager (WSO2)
CVSS 9.1 · Critique
EPSS 0.8%
WSO2•WSO2 API Manager•Versions : <4.5.0.39, <4.4.0.55, <4.3.0.91, <9.28.116.391, 0, 4.3.0, 9.29.120, 4.6.0, <9.31.86.100, <4.5.0.38, 4.4.0, <4.5.0.37, <4.2.0, 9.32.167, 9.31.86, 9.30.67, 9.32.147, <9.30.67.133, 4.5.0, <9.32.147.2, <4.5.0, 9.28.116, <4.2.0.179, <4.6.0.3, 4.2.0, <=*, <9.29.120.210
Description
A malicious actor with administrative privileges can upload an arbitrary file to a user-controlled location within the deployment via a system REST API. Successful uploads may lead to remote code execution. By leveraging the vulnerability, a malicious actor may perform Remote Code Execution by uploading a specially crafted payload.
Gravité et risque d'exploitation
CVE-2025-13590 obtient un score CVSS de 9.1/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.77 %, ce qui la place devant 54.8 % des CVE référencées.
Que faire ?
- Vérifiez si WSO2 API Manager (versions <4.5.0.39, <4.4.0.55, <4.3.0.91, <9.28.116.391, 0, 4.3.0, 9.29.120, 4.6.0, <9.31.86.100, <4.5.0.38, 4.4.0, <4.5.0.37, <4.2.0, 9.32.167, 9.31.86, 9.30.67, 9.32.147, <9.30.67.133, 4.5.0, <9.32.147.2, <4.5.0, 9.28.116, <4.2.0.179, <4.6.0.3, 4.2.0, <=*, <9.29.120.210) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.