Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Патч
Опубликована

CVE-2024-4989

Open Redirection via Callback URL in WSO2 API Manager Allows Phishing Attacks

Публикация: 21.10.2026·Обновлена: 30.10.2026, 20:17·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

The callback URL parameter in WSO2 API Manager fails to validate user-supplied input, allowing it to be controlled by malicious actors. Exploitation of this vulnerability could lead to users being redirected to attacker-controlled web pages. This can be used in conjunction with social engineering techniques to trick users into interacting with malicious links, potentially resulting in phishing attacks aimed at acquiring sensitive information or causing other harm.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Follow the instructions given on https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2024-3403/#solution

CVE Record: WSO2 ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

WSO2 / WSO2 API Manager 

{
  "status": "unknown",
  "version": "0",
  "lessThan": "4.1.0",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "4.1.0",
  "lessThan": "4.1.0.153",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "4.2.0",
  "lessThan": "4.2.0.105",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "4.3.0",
  "lessThan": "4.3.0.20",
  "versionType": "custom"
}

CVSS: оценки и векторы

CVSS 3.1 · cve5.4
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияне меняется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет
CVSS 3.1 · ed10eef1-636d-4fbe-9993-6890dfa878f85.4
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияне меняется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет

Классы CWE

CWE-601 · Перенаправление на недоверенный адрес

Источники и ссылки

Бюллетень вендора · security.docs.wso2.com · cveИсправление · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:08:53.604666+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:05.461662+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:05.461662+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:05.461662+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:08:53.604666+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:05.461662+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены05.11.2026, 00:08
  2. Данные обновлены04.11.2026, 00:08
  3. Данные обновлены03.11.2026, 00:07
  4. Данные обновлены02.11.2026, 00:07
  5. Данные обновлены31.10.2026, 11:54
  6. Данные обновлены30.10.2026, 13:15
  7. Появились сведения об исправлении29.10.2026, 02:55
  8. Данные обновлены28.10.2026, 18:03
  9. Опубликована28.10.2026, 15:15

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2025-1397
Improper IDP Status Validation via JWT Bearer or SAML2 Bearer Grants in Multiple WSO2 Products Allows Access Token Issuance for Disabled Identity Providers
WSO2 / WSO2 Universal Gateway · WSO2 / WSO2 Traffic Manager
Средний4.8
0,15 %
03.11.2026
CVE-2025-12544
Stored Cross-Site Scripting in Multiple WSO2 Products
WSO2 / WSO2 API Manager · WSO2 / WSO2 Carbon API Manager Publisher REST API
Средний4.8
0,2 %
02.11.2026
CVE-2025-11969
Broken Access Control via System REST APIs in Multiple WSO2 Products Allows Unauthorized Administrative Actions
WSO2 / WSO2 API Manager · WSO2 / WSO2 Identity Server as Key Manager
Критический9.4
0,32 %
02.11.2026
CVE-2025-13173
Improper Token Revocation via Session-Bound Token Flow in Multiple WSO2 Products Allows Unauthorized Access After Session Termination
WSO2 / WSO2 API Control Plane · WSO2 / WSO2 Universal Gateway
Средний6.5
0,19 %
19.10.2026
CVE-2025-14260
Server Side Request Forgery in Multiple WSO2 Products Allows Access to Internal and External Resources
WSO2 / WSO2 API Manager · WSO2 / WSO2 Identity Server as Key Manager
Высокий8.3
0,28 %
28.10.2026