CVE-2025-6623
Vulnérabilité moyenne dans WSO2 API Manager (WSO2)
CVSS 4.3 · Moyenne
WSO2•WSO2 API Manager•Versions : <4.1.0.215, <5.2.41.6, <4.5.0.11, 5.3.5, 5.2.41, 0, 3.2.0, 4.3.0, <5.3.15.3, <5.3.20.1, <4.3.0.66, 3.2.1, 4.1.0, 4.4.0, <5.3.5.4, <3.2.0, 5.2.57, <4.4.0.29, <3.2.1.53, 5.3.15, <4.2.0.153, <3.2.0.433, <5.2.57.7, 4.5.0, <5.3.11.4, <4.5.0, 4.2.0, 5.3.11, <5.2.26.19, <4.5.0.12, 5.2.26, 5.3.20
Description
The carbon console accepts user-supplied XML input without sufficiently encoding potentially executable content, allowing for the injection of malicious scripts. Successful exploitation allows a remote attacker to execute arbitrary JavaScript in the context of a victim's browser, leading to actions such as redirecting the user to a malicious website or modifying the web page's user interface. Session hijacking is not possible as sensitive session cookies are protected by the httpOnly flag.
Gravité et risque d'exploitation
CVE-2025-6623 obtient un score CVSS de 4.3/10, soit une gravité moyenne.
Que faire ?
- Vérifiez si WSO2 API Manager (versions <4.1.0.215, <5.2.41.6, <4.5.0.11, 5.3.5, 5.2.41, 0, 3.2.0, 4.3.0, <5.3.15.3, <5.3.20.1, <4.3.0.66, 3.2.1, 4.1.0, 4.4.0, <5.3.5.4, <3.2.0, 5.2.57, <4.4.0.29, <3.2.1.53, 5.3.15, <4.2.0.153, <3.2.0.433, <5.2.57.7, 4.5.0, <5.3.11.4, <4.5.0, 4.2.0, 5.3.11, <5.2.26.19, <4.5.0.12, 5.2.26, 5.3.20) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.