WSO2多產品受CVE-2025-14260 SSRF漏洞影響，內外部資源易被未授權存取
CVE-2025-14260 - Server Side Request Forgery in Multiple WSO2 Products Allows Access to Internal and External Resources
CVE-2025-14260 是一個 SSRF 漏洞，已影響多個 WSO2 產品，允許未授權使用者讓伺服器向任意網路位置傳送請求。
- 漏洞型別：Server Side Request Forgery (SSRF)。
此漏洞揭示WSO2多產品缺失的資源位置驗證，提醒開發者即時更新以避免內部資源外洩，並強調驗證機制的重要性。未修補的系統可能被未授權使用者利用進行內網探測或外部資料竊取，甚至導致機密資訊洩漏。
由於存取控制規則實作不當，WSO2 產品會接受使用者提供的與資源位置相關之輸入，而未執行預期的驗證限制。這可被未經授權的攻擊者利用，指示伺服器對任意網路位置傳送請求。 利用此漏洞，惡意攻擊者可存取 WSO2 產品可達到的內部及外部資源，無論是網路或檔案系統。此舉可能導致未授權存取敏感資料與系統。
影響
受影響產品
受CVE-2025-14260影響的產品如下
漏洞。
即使cvefeed.io瞭解確切的版本
產品
那
是
受影響，資訊未在下表中列示。
| ID | 供應商 | 產品 | 動作 |
|---|---|---|---|
| 1 | Wso2 | api_manager | |
| 2 | Wso2 | identity_server | |
| 3 | Wso2 | identity_server_as_key_manager | |
| 4 | Wso2 | open_banking_am | |
| 5 | Wso2 | open_banking_iam | |
| 6 | Wso2 | wso2_open_banking_am | |
| 7 | Wso2 | wso2_identity_server | |
| 8 | Wso2 | wso2_open_banking_iam | |
| 9 | Wso2 | wso2_api_manager | |
| 10 | Wso2 | wso2_identity_server_as_key_manager | |
| 11 | Wso2 | saml2_sso_authenticator_ui_bundle | |
| 12 | Wso2 | wso2_carbon_ui |
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞的嚴重程度。 我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | ed10eef1-636d-4fbe-9993-6890dfa878f8 | ||||
| CVSS 3.1 | 高 | MITRE-CVE |
實作適當的存取控制驗證，對資源位置輸入進行驗證，以防止未授權的伺服器請求。
- 驗證使用者提供的資源位置輸入。
- 執行預期的驗證約束。
- 限制對授權位置的存取。
- 套用供應商建議的安全更新。
我們掃描 GitHub 倉庫以偵測新的概念驗證 (PoC) 攻擊。以下清單是已於 GitHub 發布的公開攻擊與概念驗證，按最近更新排序。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單為已提及 CVE-2025-14260 漏洞的新聞。
EPSS 是每日估計在未來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。