WSO2 产品中通过身份验证终端点进行的跨站脚本攻击允许重定向到恶意网站

WSO2 API Manager 中的 CVE-2025-6024 代表了身份验证端点中的一种 XSS（跨站脚本）漏洞。 由于在将用户提供的输入渲染到网页之前未进行适当的编码，攻击者可以注入恶意脚本。 这可能导致用户的浏览器被重定向到恶意网站、操纵网页的用户界面或从浏览器中检索信息。 虽然 'httpOnly' 标志保护与会话相关的 Cookie，但此 XSS 漏洞仍然允许进行可能损害用户体验并可能暴露非敏感数据的攻击。

Organizations heavily reliant on WSO2 API Manager for managing and securing their APIs are at risk. Specifically, deployments using older versions (0.0.0 - 5.11.0.405) and those with inadequate input validation practices are particularly vulnerable. Shared hosting environments utilizing WSO2 API Manager should also be prioritized for patching.

• linux / server:

journalctl -u wso2-api-manager -g "authentication endpoint" | grep -i "script injection"

• generic web:

curl -I <wso2_api_manager_authentication_endpoint> | grep -i "X-XSS-Protection"

• generic web: Inspect the HTML source code of the authentication page for any unexpected <script> tags or JavaScript code.

1. 2026-04-16Disclosure

   disclosure

1. 已保留2025-06-12
2. 发布日期2026-04-16
3. EPSS 更新日期2026-04-23

CVE-2025-6024 的解决方案是将 WSO2 API Manager 升级到 5.11.0.405 或更高版本。 此版本包含必要的修复程序，以正确编码身份验证端点上的用户输入，从而降低脚本注入的风险。 建议尽快应用此更新以保护您的 API Manager 环境。 此外，请审查应用程序中输入验证和编码的实践，以防止未来的 XSS 漏洞。 监控服务器日志以查找可疑活动也是一种很好的安全实践。