CVE-2025-13590— WSO2多款产品 安全漏洞
可能的 ATT&CK 技术 1AI
T1190 · Exploit Public-Facing Application影响版本矩阵 21
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| WSO2 | org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.impl | 9.28.116< 9.28.116.391 | affected |
9.29.120< 9.29.120.210 | affected | ||
9.30.67< 9.30.67.133 | affected | ||
9.31.86< 9.31.86.100 | affected | ||
9.32.147< 9.32.147.2 | affected | ||
9.32.167≤ * | unaffected | ||
| WSO2 | WSO2 API Control Plane | < 4.5.0 | unknown |
4.5.0< 4.5.0.39 | affected | ||
4.6.0< 4.6.0.3 | affected | ||
| WSO2 | WSO2 API Manager | < 4.2.0 | unaffected |
4.2.0< 4.2.0.179 | affected | ||
4.3.0< 4.3.0.91 | affected | ||
4.4.0< 4.4.0.55 | affected | ||
4.5.0< 4.5.0.38 | affected | ||
4.6.0< 4.6.0.3 | affected | ||
| WSO2 | WSO2 Traffic Manager | < 4.5.0 | unknown |
4.5.0< 4.5.0.37 | affected | ||
4.6.0< 4.6.0.3 | affected | ||
| WSO2 | WSO2 Universal Gateway | < 4.5.0 | unknown |
4.5.0< 4.5.0.37 | affected | ||
4.6.0< 4.6.0.3 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2025-13590 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Authenticated arbitrary file upload via a System REST API requiring administrator permission.
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
A malicious actor with administrative privileges can upload an arbitrary file to a user-controlled location within the deployment via a system REST API. Successful uploads may lead to remote code execution. By leveraging the vulnerability, a malicious actor may perform Remote Code Execution by uploading a specially crafted payload.
来源: 美国国家漏洞数据库 NVD
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
N/A
来源: 美国国家漏洞数据库 NVD
Vulnerability Title
WSO2多款产品 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
WSO2 API Manager等都是美国WSO2公司的产品。WSO2 API Manager是一套API生命周期管理解决方案。WSO2 API Control Plane是一个控制面板。WSO2 Traffic Manager是一个调节和管理API流量的组件。 WSO2多款产品存在安全漏洞，该漏洞源于具有管理权限的恶意行为者可通过系统REST API将任意文件上传到部署中用户控制的位置，可能导致远程代码执行。以下产品受到影响：WSO2 API Control Plane、WSO2 API Manager
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| WSO2 | WSO2 API Manager | 4.2.0 ~ 4.2.0.179 | - | |
| WSO2 | WSO2 API Control Plane | 4.5.0 ~ 4.5.0.39 | - | |
| WSO2 | WSO2 Universal Gateway | 4.5.0 ~ 4.5.0.37 | - | |
| WSO2 | WSO2 Traffic Manager | 4.5.0 ~ 4.5.0.37 | - | |
| WSO2 | org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.impl | 9.28.116 ~ 9.28.116.391 | - |
二、漏洞 CVE-2025-13590 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2025-13590 的情报信息
请登录查看更多情报信息。
IV. Related Vulnerabilities
V. Comments for CVE-2025-13590
暂无评论