IT SBIT Services
Schneeberger
DEEN
CVE-Tracker

WSO2 API Manager und Identity Server: Server-Side Request Forgery

CVE-2025-14260Hoch 8.3

← Alle Schwachstellen

Zusammenfassung

Mehrere WSO2-Produkte, darunter API Manager, Identity Server, Identity Server as Key Manager, Open Banking AM/IAM und das SAML2 SSO Authenticator UI Bundle, enthalten eine Server-Side Request Forgery (SSRF)-Schwachstelle, die auf fehlende Zugriffskontrollen und unzureichende Eingabevalidierung zurückzuführen ist. Ein Angreifer kann den Server dazu bringen, Anfragen an beliebige interne oder externe Netzwerkadressen zu senden und auf Ressourcen zuzugreifen, die vom Produkt erreichbar sind, wodurch sensible Daten und Systeme offengelegt werden können. Der CVSS-Vektor setzt niedrige Berechtigungen voraus (PR:L), während die CVE-Beschreibung angibt, dass die Schwachstelle ohne Authentifizierung ausgenutzt werden kann; WSO2 hat diesen Widerspruch noch nicht aufgelöst, weshalb für internetexponierte Systeme vom ungünstigsten Fall ausgegangen werden sollte. CISA SSVC stuft die Ausnutzung als keine ein, und es ist kein öffentlicher Exploit bekannt.

Betroffen

  • WSO2 API Manager: unter 3.1.0; 3.1.0 bis unter 3.1.0.354; 3.2.0 bis unter 3.2.0.458; 3.2.1 bis unter 3.2.1.99; 4.0.0 bis unter 4.0.0.379; 4.1.0 bis unter 4.1.0.265; 4.2.0 bis unter 4.2.0.205; 4.3.0 bis unter 4.3.0.115; 4.4.0 bis unter 4.4.0.79
  • WSO2 Identity Server: unter 5.10.0; 5.10.0 bis unter 5.10.0.383; 5.11.0 bis unter 5.11.0.430; 6.0.0 bis unter 6.0.0.256; 6.1.0 bis unter 6.1.0.257; 7.0.0 bis unter 7.0.0.134
  • WSO2 Identity Server as Key Manager: 5.10.0 bis unter 5.10.0.374
  • WSO2 Open Banking AM: 2.0.0 bis unter 2.0.0.403
  • WSO2 Open Banking IAM: 2.0.0 bis unter 2.0.0.423
  • WSO2 SAML2 SSO Authenticator UI Bundle: mehrere Builds der Versionen 5.5.x bis 5.9.x (siehe Advisory)
  • WSO2 Carbon UI: nur im CVE-Eintrag aufgeführt, Status unbestätigt

Behoben in

  • WSO2 API Manager 4.4.0 Update-Level 79, 4.3.0 Update-Level 115, 4.2.0 Update-Level 205, 4.1.0 Update-Level 265, 4.0.0 Update-Level 379, 3.2.1 Update-Level 99, 3.2.0 Update-Level 458, 3.1.0 Update-Level 354
  • WSO2 Identity Server 7.0.0 Update-Level 134, 6.1.0 Update-Level 257, 6.0.0 Update-Level 256, 5.11.0 Update-Level 430, 5.10.0 Update-Level 383
  • WSO2 Identity Server as Key Manager 5.10.0 Update-Level 374
  • WSO2 Open Banking AM 2.0.0 Update-Level 403
  • WSO2 Open Banking IAM 2.0.0 Update-Level 423
  • Community-Benutzer: Fixes über die verlinkten GitHub-Pull-Requests oder Migration auf die neueste nicht betroffene Version

Umgehung

Unbekannt.

  • Ausgehende Verbindungen von WSO2-Servern auf die für den Betrieb notwendigen Ziele beschränken (allgemeine SSRF-Härtung, kein WSO2-Fix).

Ausnutzung

  • CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
  • Bei der letzten Prüfung wurde kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB gefunden; VulDB gibt an, dass kein öffentlicher Exploit verfügbar ist.
  • Keine bekannte Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Katalog sollte direkt geprüft werden.
  • EPSS: 0.28 % (Perzentil 20).

Unsere Empfehlung

  • Prüfen, ob eines der oben genannten WSO2-Produkte eingesetzt wird, und die genaue Version sowie das Update-Level bestätigen.
  • Prüfen, ob das System aus dem Internet erreichbar ist und ob Benutzer mit niedrigen Berechtigungen oder eine Selbstregistrierung möglich sind.
  • Das Fix-Update-Level für die verwendete Produktlinie installieren oder auf eine nicht betroffene Version migrieren.
  • Ausgehende Verbindungen von WSO2-Servern einschränken und auf ungewöhnliche ausgehende Anfragen überwachen.
  • Falls Carbon UI oder Business Process Server eingesetzt wird, bei WSO2 eine Bestätigung oder einen Behebungspfad anfordern und ohne verfügbare Lösung Isolation oder Ersatz planen.

Öffentliche Exploits

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:05.

Referenzen der NVD (1)

Quellen

Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:

Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmenRSS-Feed