WSO2 Multiple Products Unrestrictive Upload of File Vulnerability

CheckOps-Prioritätsindex

9,9/10 Binnen 24 h patchen

Schweregrad9,8

Wahrscheinlichkeit10,0

Ausnutzung5/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 100,00 % höher als 99,99 % aller CVE

CVSS 3.1 9,8 AC:L/AV:N/A:H/C:H/I:H/PR:N/S:U

Ausgenutzt seit 1.653 Tagen 25.04.2022

CISA-Frist 16.05.2022 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 5 / 5

KEV-Katalog (CISA)25.04.2022
In der EUVD ausgenutzt (ENISA)25.04.2022
Von Ransomware genutztja
EPSS über 10 %100,00 %
Ohne Konto, über das Netzja

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply updates per vendor instructions.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

Certain WSO2 products allow unrestricted file upload with resultant remote code execution. The attacker must use a /fileupload endpoint with a Content-Disposition directory traversal sequence to reach a directory under the web root, such as a ../../../../repository/deployment/server/webapps directory. This affects WSO2 API Manager 2.2.0 up to 4.0.0, WSO2 Identity Server 5.2.0 up to 5.11.0, WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0 and 5.6.0, WSO2 Identity Server as Key Manager 5.3.0 up to 5.11.0, WSO2 Enterprise Integrator 6.2.0 up to 6.6.0, WSO2 Open Banking AM 1.4.0 up to 2.0.0 and WSO2 Open Banking KM 1.4.0, up to 2.0.0.

Text der Quelle, auf Englisch.

Betroffene Produkte

Multiple Products

Schwächen (CWE)

CWE-22

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

18.04.2022
Veröffentlichung
25.04.2022
Ausnutzung gemeldet (ENISA)
25.04.2022
Aufnahme in den KEV-Katalog
16.05.2022
CISA-Frist zur Behebung
26.09.2026
EPSS-Höchstwert: 100,00 %

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2026-5430WSO2 Multiple Products Path Traversal Vulnerability
7,1 · Aktiv ausgenutzt