| タイトル | WSO2のWSO2 API Control Plane等の複数製品におけるクロスサイトスクリプティングの脆弱性 |
|---|---|
| 概要 | このソフトウェアは、ユーザーが提供した入力をURLパラメータを介して受け入れますが、ユーザーのブラウザに反映する前に十分な出力エンコーディングを行っていません。このため、攻撃者はアプリケーションが提供するページに悪意のあるスクリプトを注入できます。この脆弱性を悪用すると、攻撃者はユーザーのブラウザを悪意のあるウェブサイトにリダイレクトさせたり、ウェブページのUIを改変したり、ブラウザから情報を取得したりすることが可能です。ただし、セッション関連のクッキーにhttpOnlyフラグが設定されているため、セッションハイジャックのリスクは軽減されています。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年7月6日0:00 |
| 登録日 | 2026年7月13日11:41 |
| 最終更新日 | 2026年7月13日11:41 |
| CVSS3.0 : 警告 | |
| スコア | 6.1 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
| WSO2 |
| Identity Server as Key Manager 5.10.0 以上 5.10.0.375 未満 |
| WSO2 API Control Plane 4.5.0 以上 4.5.0.44 未満 |
| WSO2 API Control Plane 4.6.0 以上 4.6.0.8 未満 |
| WSO2 API Manager 3.1.0 以上 3.1.0.355 未満 |
| WSO2 API Manager 3.2.0 以上 3.2.0.459 未満 |
| WSO2 API Manager 3.2.1 以上 3.2.1.78 未満 |
| WSO2 API Manager 4.0.0 以上 4.0.0.380 未満 |
| WSO2 API Manager 4.1.0 以上 4.1.0.243 未満 |
| WSO2 API Manager 4.2.0 以上 4.2.0.183 未満 |
| WSO2 API Manager 4.3.0 以上 4.3.0.94 未満 |
| WSO2 API Manager 4.4.0 以上 4.4.0.58 未満 |
| WSO2 API Manager 4.5.0 以上 4.5.0.43 未満 |
| WSO2 API Manager 4.6.0 以上 4.6.0.7 未満 |
| WSO2 Identity Server 5.10.0 以上 5.10.0.384 未満 |
| WSO2 Identity Server 6.0.0 以上 6.0.0.255 未満 |
| WSO2 Identity Server 7.0.0 以上 7.0.0.131 未満 |
| WSO2 Identity Server 7.1.0 以上 7.1.0.51 未満 |
| WSO2 Open Banking AM 2.0.0 以上 2.0.0.404 未満 |
| WSO2 Open Banking IAM 2.0.0 以上 2.0.0.424 未満 |
| WSO2 Traffic Manager 4.5.0 以上 4.5.0.42 未満 |
| WSO2 Traffic Manager 4.6.0 以上 4.6.0.7 未満 |
| WSO2 Universal Gateway 4.5.0 以上 4.5.0.42 未満 |
| WSO2 Universal Gateway 4.6.0 以上 4.6.0.7 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年07月13日] 掲載 |
2026年7月13日11:41 |
| 概要 | The software accepts user-supplied input via a URL parameter without adequate output encoding before reflecting it back to the user's browser. This condition allows an attacker to inject malicious script content into pages served by the application. By leveraging this weakness, an attacker can cause the user's browser to redirect to a malicious website, modify the UI of the webpage, or retrieve information from the browser. However, the impact is mitigated by the use of httpOnly flags on session-related cookies, preventing session hijacking. |
|---|---|
| 公表日 | 2026年7月6日20:16 |
| 登録日 | 2026年7月7日4:22 |
| 最終更新日 | 2026年7月9日22:04 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:wso2:api_control_plane:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.44 | |||
| cpe:2.3:a:wso2:api_control_plane:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.8 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.1.0 | 3.1.0.355 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.2.0 | 3.2.0.459 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.2.1 | 3.2.1.78 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.0.0 | 4.0.0.380 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.1.0 | 4.1.0.243 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.2.0 | 4.2.0.183 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.3.0 | 4.3.0.94 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.4.0 | 4.4.0.58 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.43 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.7 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 5.10.0 | 5.10.0.384 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 6.0.0 | 6.0.0.255 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 7.0.0 | 7.0.0.131 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 7.1.0 | 7.1.0.51 | |||
| cpe:2.3:a:wso2:identity_server_as_key_manager:*:*:*:*:*:*:*:* | 5.10.0 | 5.10.0.375 | |||
| cpe:2.3:a:wso2:open_banking_am:*:*:*:*:*:*:*:* | 2.0.0 | 2.0.0.404 | |||
| cpe:2.3:a:wso2:open_banking_iam:*:*:*:*:*:*:*:* | 2.0.0 | 2.0.0.424 | |||
| cpe:2.3:a:wso2:traffic_manager:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.42 | |||
| cpe:2.3:a:wso2:traffic_manager:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.7 | |||
| cpe:2.3:a:wso2:universal_gateway:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.42 | |||
| cpe:2.3:a:wso2:universal_gateway:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.7 | |||