CVE-2025-4760
Vulnérabilité moyenne dans WSO2 API Manager (WSO2)
Description
An authenticated stored cross-site scripting (XSS) vulnerability exists in multiple WSO2 products due to improper validation of user-supplied input during API document upload in the Publisher portal. A user with publisher privileges can upload a crafted API document containing malicious JavaScript, which is later rendered in the browser when accessed by other users. A successful attack could result in redirection to malicious websites, unauthorized UI modifications, or exfiltration of browser-accessible data. However, session-related sensitive cookies are protected by the httpOnly flag, preventing session hijacking.
Gravité et risque d'exploitation
CVE-2025-4760 obtient un score CVSS de 4.8/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.19 %, ce qui la place devant 7.8 % des CVE référencées.
Que faire ?
- Vérifiez si WSO2 API Manager (versions <3.2.0.428, <9.29.120.163, 0, 3.2.0, 4.3.0, 9.29.120, <9.30.67.80, 3.2.1, 9.20.74, 4.1.0, 4.4.0, <4.4.0.23, <3.2.0, <4.3.0.60, 9.31.86, <6.7.206.559, 9.30.67, <4.5.0.7, <9.28.116.321, <6.7.210.48, 4.5.0, 6.7.206, 9.28.116, <9.20.74.365, 4.2.0, <9.31.86.30, <4.1.0.209, <=*, <4.5.0.8, 9.31.117, <3.2.1.48, <4.2.0.145, 6.7.210) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.