Plataforma
javascript
Componente
wso2-api-manager
Corrigido em
3.2.0
3.2.0.408
3.2.1.32
4.0.0.293
4.1.0.187
A vulnerabilidade CVE-2024-4867 reside no WSO2 API Manager, especificamente no portal do desenvolvedor, onde a entrada do usuário não é devidamente validada ou codificada. Isso possibilita a injeção de scripts maliciosos que são executados no navegador do usuário, potencialmente levando a redirecionamentos para sites maliciosos ou modificações na interface da página. As versões afetadas incluem de 0.0.0 até 4.1.0.187, e uma correção foi disponibilizada na versão 4.1.0.187.
A vulnerabilidade CVE-2024-4867 no WSO2 API Manager afeta o portal do desenvolvedor, permitindo a injeção de scripts maliciosos devido à falta de validação adequada das entradas do usuário e codificação de saída. Um atacante pode injetar código JavaScript que é executado no navegador do usuário, comprometendo a segurança e a integridade da aplicação. Isso pode resultar em redirecionamento do usuário para sites maliciosos, manipulação da interface do usuário ou recuperação de informações sensíveis do navegador, como cookies de sessão. A gravidade desta vulnerabilidade é classificada como 5.4 de acordo com o CVSS, e não é considerada uma vulnerabilidade chave (KEV).
A vulnerabilidade é explorada através da injeção de código JavaScript em campos de entrada do portal do desenvolvedor que não são devidamente validados. Um atacante pode criar uma solicitação maliciosa que contenha código JavaScript, e se esta solicitação for processada sem a validação adequada, o código será executado no navegador do usuário. O sucesso da exploração depende da capacidade do atacante de encontrar pontos de entrada vulneráveis e da falta de proteção contra a injeção de scripts. A falta de uma validação robusta das entradas do usuário é a principal causa desta vulnerabilidade.
Organizations utilizing WSO2 API Manager for API management, particularly those relying on the developer portal for API documentation and testing, are at risk. Environments with legacy configurations or those that have not implemented robust input validation practices are especially vulnerable. Shared hosting environments where multiple API Manager instances share resources could also experience broader impact.
• generic web: Use curl or wget to test developer portal endpoints for XSS vulnerabilities. Examine response headers for unexpected content.
• generic web: Search access and error logs for suspicious JavaScript code or unusual redirects originating from user input fields.
• javascript: Inspect the WSO2 API Manager developer portal's JavaScript code for any instances where user input is directly rendered without proper sanitization.
• javascript: Use browser developer tools to monitor network requests and identify any unexpected redirects or script injections.
disclosure
Status do Exploit
EPSS
0.01% (percentil 1%)
CISA SSVC
Vetor CVSS
Para mitigar o risco associado ao CVE-2024-4867, recomendamos fortemente atualizar o WSO2 API Manager para a versão 4.1.0.187 ou superior. Esta versão inclui as correções necessárias para abordar a vulnerabilidade de Cross-Site Scripting (XSS). Enquanto a atualização é realizada, medidas de segurança adicionais podem ser implementadas, como a validação estrita de todas as entradas do usuário no portal do desenvolvedor e a codificação adequada da saída para prevenir a execução de scripts maliciosos. Além disso, recomenda-se monitorar os registros da aplicação em busca de atividades suspeitas.
Actualice WSO2 API Manager a la versión 3.2.0.408 o superior, 3.2.1.32 o superior, 4.0.0.293 o superior, o 4.1.0.187 o superior para mitigar la vulnerabilidad de Cross-Site Scripting. Asegúrese de revisar las notas de la versión para cualquier cambio de configuración requerido después de la actualización. Implemente validaciones de entrada robustas y codificación de salida adecuada en el portal del desarrollador.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
XSS (Cross-Site Scripting) é um tipo de vulnerabilidade de segurança que permite que atacantes injetem scripts maliciosos em páginas web visualizadas por outros usuários.
A versão 4.1.0.187 contém as correções necessárias para abordar a vulnerabilidade XSS no portal do desenvolvedor.
Implemente validação estrita de entradas e codificação de saída como medidas temporárias. Monitore os registros da aplicação.
Se estiver usando uma versão anterior a 4.1.0.187, provavelmente é vulnerável. Realize testes de penetração para confirmar.
Consulte a documentação oficial do WSO2 API Manager e as fontes de informação sobre segurança da indústria.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.