Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2024-4598

Information Disclosure in Multiple WSO2 Products Due to Improper Handling in Enrich Mediator

Публикация: 23.09.2025·Обновлена: 23.09.2025, 22:35·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

An information disclosure vulnerability exists in multiple WSO2 products due to improper implementation of the enrich mediator. Authenticated users may be able to view unintended business data from other mediation contexts because the internal state is not properly isolated or cleared between executions. This vulnerability does not impact user credentials or access tokens but may lead to leakage of sensitive business information handled during message flows.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Follow the instructions given on https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2024-3355/#solution https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2024-3355/#solution

CVE Record: WSO2 ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

WSO2 / WSO2 API Manager 

{
  "status": "unknown",
  "version": "0",
  "lessThan": "3.2.0",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "3.2.0",
  "lessThan": "3.2.0.422",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "3.2.1",
  "lessThan": "3.2.1.42",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "4.1.0",
  "lessThan": "4.1.0.152",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "4.3.0",
  "lessThan": "4.3.0.55",
  "versionType": "custom"
}

WSO2 / WSO2 Micro Integrator 

{
  "status": "unknown",
  "version": "0",
  "lessThan": "1.2.0",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "1.2.0",
  "lessThan": "1.2.0.157",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "4.1.0",
  "lessThan": "4.1.0.95",
  "versionType": "custom"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.5
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьнет
A · Доступностьнет

Классы CWE

CWE-1259 · Неправильное ограничение назначения токенов безопасности

Источники и ссылки

Бюллетень вендора · security.docs.wso2.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:08:07.662790+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T23:51:49.222047+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T23:51:49.222047+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T23:51:49.222047+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:08:07.662790+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T23:51:49.222047+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:08
  2. Данные обновлены03.11.2026, 00:07
  3. Данные обновлены02.11.2026, 00:07
  4. Данные обновлены31.10.2026, 11:54
  5. Данные обновлены30.10.2026, 13:14
  6. Данные обновлены29.10.2026, 10:31
  7. Опубликована29.10.2026, 02:51

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2025-7203
Sensitive Information Disclosure via Management Console and Product Files in Multiple WSO2 Products Allows Retrieval of Credentials
WSO2 / WSO2 Universal Gateway · WSO2 / WSO2 Traffic Manager
Средний4.9
0,15 %
19.10.2026
CVE-2025-6623
Stored Cross-Site Scripting via XML Input in Multiple WSO2 Products Allows UI Manipulation and Redirection
WSO2 / WSO2 API Manager · WSO2 / WSO2 Universal Gateway
Средний4.3
0,27 %
Патч
19.10.2026
CVE-2025-13173
Improper Token Revocation via Session-Bound Token Flow in Multiple WSO2 Products Allows Unauthorized Access After Session Termination
WSO2 / WSO2 API Control Plane · WSO2 / WSO2 Universal Gateway
Средний6.5
0,19 %
19.10.2026
CVE-2025-14260
Server Side Request Forgery in Multiple WSO2 Products Allows Access to Internal and External Resources
WSO2 / WSO2 API Manager · WSO2 / WSO2 Identity Server as Key Manager
Высокий8.3
0,28 %
28.10.2026
CVE-2025-7043
Refresh Token Misuse via Validation Flaw in Multiple WSO2 Products Enables Unauthorized Resource Consumption
WSO2 / WSO2 API Manager · WSO2 / WSO2 Universal Gateway
Средний5.4
0,18 %
19.10.2026