CVE-2025-14561
Vulnérabilité critique dans WSO2 API Manager (WSO2)
CVSS 9.0 · Critique
EPSS 0.4%
WSO2•WSO2 API Manager•Versions : <4.1.0.242, <4.6.0.7, 9.29.120, 4.3.0, <4.6.0.6, 9.20.74, 4.6.0, 4.1.0, <9.28.116.395, 4.4.0, <9.32.147.5, <4.3.0.93, <4.5.0.42, 9.31.86, <9.30.67.135, 9.30.67, 9.32.147, 4.5.0, <4.5.0.40, 9.28.116, <4.5.0.41, <4.4.0.57, 4.2.0, <9.31.86.108, <=*, <4.2.0.182, <9.29.120.213, <9.20.74.388, 9.32.160
Description
In multi-tenant deployments, the Publisher REST APIs fail to enforce tenant isolation correctly. This allows a user in one tenant, possessing sufficient privileges to invoke these APIs, to perform operations that impact other tenants. The vulnerability allows a privileged user to perform publisher operations such as exposing or modifying API Metadata in another tenant environment. This impact is only realized in multi-tenant deployments.
Gravité et risque d'exploitation
CVE-2025-14561 obtient un score CVSS de 9.0/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.41 %, ce qui la place devant 34.2 % des CVE référencées.
Que faire ?
- Vérifiez si WSO2 API Manager (versions <4.1.0.242, <4.6.0.7, 9.29.120, 4.3.0, <4.6.0.6, 9.20.74, 4.6.0, 4.1.0, <9.28.116.395, 4.4.0, <9.32.147.5, <4.3.0.93, <4.5.0.42, 9.31.86, <9.30.67.135, 9.30.67, 9.32.147, 4.5.0, <4.5.0.40, 9.28.116, <4.5.0.41, <4.4.0.57, 4.2.0, <9.31.86.108, <=*, <4.2.0.182, <9.29.120.213, <9.20.74.388, 9.32.160) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.