CVE-2024-2372— WSO2 多产品未过滤输入导致开放重定向漏洞
一分钟漏洞结论
影响对象
WSO2 WSO2 Open Banking AM
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
受影响的组件在构建重定向 URL 时接受用户提供的输入，但未实施预期的验证约束。这使得攻击者能够构造恶意 URL，将用户重定向至任意外部域名。 利用该开放重定向漏洞，攻击者可以伪造恶意链接；当用户点击后，会被重定向至攻击者控制的页面。攻击者可结合社会工程学手段实施网络钓鱼攻击，以窃取敏感信息或造成其他危害。
可能的 ATT&CK 技术 1 AI
T1566 · Phishing
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2024-2372 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Open Redirection via Unsanitized User Input in Multiple WSO2 Products Allows Phishing Attacks
来源: CVE Program / CVE List V5
Vulnerability Description
The affected components accept user-supplied input for constructing redirection URLs without enforcing expected validation constraints. This allows an attacker to provide a crafted URL that can redirect users to an arbitrary external domain.
By leveraging this open redirection vulnerability, an attacker can craft a malicious link that, when clicked by a user, redirects them to an attacker-controlled page. This can be used in conjunction with social engineering techniques to execute phishing attacks, aiming to obtain sensitive information or cause other harm.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
指向未可信站点的URL重定向(开放重定向)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| WSO2 | WSO2 Open Banking AM | 2.0.0 ~ 2.0.0.383 | - |
|
| WSO2 | WSO2 API Manager | 3.0.0 ~ 3.0.0.160 | - |
|
| WSO2 | WSO2 Identity Server as Key Manager | 5.9.0 ~ 5.9.0.163 | - |
|
| WSO2 | WSO2 Open Banking IAM | 2.0.0 ~ 2.0.0.404 | - |
|
| WSO2 | WSO2 Enterprise Integrator | 6.6.0 ~ 6.6.0.212 | - |
|
| WSO2 | WSO2 Identity Server | 5.9.0 ~ 5.9.0.154 | - |
|
| WSO2 | WSO2 Carbon Registry Kernel | 4.5.1 ~ 4.5.1.36 | - |
|
二、漏洞 CVE-2024-2372 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2024-2372 的情报信息
请登录查看更多情报信息。
CVE-2024-2372 其他参考 (1)
同批安全公告 · WSO2 · 2026-11-02 · 共 10 条
| CVE-2025-11969 | 9.4 CRITICAL | WSO2 多产品系统 REST API 越权漏洞 |
| CVE-2026-2613 | 8.7 HIGH | WSO2 多产品 Admin REST API 接口 SQL 注入漏洞 |
| CVE-2025-13647 | 5.8 MEDIUM | WSO2 多产品信息泄露漏洞 |
| CVE-2024-9517 | 4.9 MEDIUM | WSO2 多产品刷新令牌授予令牌续期不当漏洞 |
| CVE-2024-5617 | 4.8 MEDIUM | 多款 WSO2 产品账户锁定绕过漏洞 |
| CVE-2025-12544 | 4.8 MEDIUM | WSO2 多款产品存储型跨站脚本漏洞 |
| CVE-2024-7075 | 4.6 MEDIUM | WSO2 多产品管理控制台用户搜索反射型跨站脚本漏洞 |
| CVE-2026-18800 | 4.4 MEDIUM | WSO2 多产品事件日志敏感信息泄露漏洞 |
| CVE-2024-12141 | 4.3 MEDIUM | WSO2 产品回调 URL 验证绕过导致钓鱼漏洞 |