主要情報 脆弱性識別 セキュリティ公告番号: WSO2-2025-4104/CVE-2025-4760 公開日: 2025-07-15 更新日: 2025-07-15 バージョン: 1.0.0 重大度: 中 CVSSスコア: 4.8 (CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/LI:L/A:N) 影響を受ける製品 WSO2 API Manager: 3.2.0, 3.2.1, 4.1.0, 4.2.0, 4.3.0, 4.4.0, 4.5.0 WSO2 API Control Plane: 4.5.0 WSO2 Universal Gateway: 4.5.0 WSO2 Traffic Manager: 4.5.0 概要 脆弱性の種類: 認証ストレージにおけるクロスサイトスクリプティング（XSS） 説明 検証の不備により、パブリッシャー権限を持つユーザーがパブリッシャーにAPIドキュメントファイルをアップロードすることで、保存型クロスサイトスクリプティング（XSS）攻撃を悪用できる。 影響 XSS攻撃を利用すると、悪意のある攻撃者はブラウザを悪意のあるウェブサイトへリダイレクトさせたり、ウェブページのUIを変更したり、ブラウザから情報を窃取したり、その他の損害を与えたりする可能性がある。ただし、セッションに関連するすべての機密性のあるクッキーはHttpOnlyフラグが設定され保護されているため、セッションハイジャックやその他の類似した攻撃は不可能である。 解決策 コミュニティユーザー（オープンソース）: 提供されている公開パッチを適用する。 - GitHubの修正リンク パッチの適用や更新が現実的でない場合は、影響を受ける製品から、影響を受けない最新のバージョンへ移行する。 サポート契約保有者: 製品を指定された更新レベルまたはそれ以上の更新レベルに更新し、パッチを適用する。 謝辞 WSO2は、Pham Ho Anh Dungが特定された問題を責任を持って報告し、当社と連携して解決に取り組んでくれたことに感謝する。