Stored Cross-Site Scripting via XML Input in Multiple WSO2 Products Allows UI Manipulation and Redirection
The carbon console accepts user-supplied XML input without sufficiently encoding potentially executable content, allowing for the injection of malicious scripts.
Successful exploitation allows a remote attacker to execute arbitrary JavaScript in the context of a victim's browser, leading to actions such as redirecting the user to a malicious website or modifying the web page's user interface. Session hijacking is not possible as sensitive session cookies are protected by the httpOnly flag.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
WSO2 API Manager
Fornecedor
WSO2
Produto
WSO2 API Manager
Plataformas
Desconhecido
Status padrão
unaffected
WSO2 API Manager · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
unknown
custom
3.2.0
Indisponível
Nenhuma listada
3.2.0
affected
custom
3.2.0.433
Indisponível
Nenhuma listada
3.2.1
affected
custom
3.2.1.53
Indisponível
Nenhuma listada
4.1.0
affected
custom
4.1.0.215
Indisponível
Nenhuma listada
4.2.0
affected
custom
4.2.0.153
Indisponível
Nenhuma listada
4.3.0
affected
custom
4.3.0.66
Indisponível
Nenhuma listada
4.4.0
affected
custom
4.4.0.29
Indisponível
Nenhuma listada
4.5.0
affected
custom
4.5.0.11
Indisponível
Nenhuma listada
WSO2 Universal Gateway
Fornecedor
WSO2
Produto
WSO2 Universal Gateway
Plataformas
Desconhecido
Status padrão
unaffected
WSO2 Universal Gateway · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
unknown
custom
4.5.0
Indisponível
Nenhuma listada
4.5.0
affected
custom
4.5.0.11
Indisponível
Nenhuma listada
WSO2 Traffic Manager
Fornecedor
WSO2
Produto
WSO2 Traffic Manager
Plataformas
Desconhecido
Status padrão
unaffected
WSO2 Traffic Manager · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
unknown
custom
4.5.0
Indisponível
Nenhuma listada
4.5.0
affected
custom
4.5.0.11
Indisponível
Nenhuma listada
WSO2 API Control Plane
Fornecedor
WSO2
Produto
WSO2 API Control Plane
Plataformas
Desconhecido
Status padrão
unaffected
WSO2 API Control Plane · Fatos de produtos e versões por escopo