| Title | WSO2のWSO2 API Control Plane等の複数製品におけるクロスサイトスクリプティングの脆弱性 |
|---|---|
| Summary | このソフトウェアは、ユーザーが提供した入力をURLパラメータを介して受け入れますが、ユーザーのブラウザに反映する前に十分な出力エンコーディングを行っていません。このため、攻撃者はアプリケーションが提供するページに悪意のあるスクリプトを注入できます。この脆弱性を悪用すると、攻撃者はユーザーのブラウザを悪意のあるウェブサイトにリダイレクトさせたり、ウェブページのUIを改変したり、ブラウザから情報を取得したりすることが可能です。ただし、セッション関連のクッキーにhttpOnlyフラグが設定されているため、セッションハイジャックのリスクは軽減されています。 |
| Possible impacts | ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | July 6, 2026, midnight |
| Registration Date | July 13, 2026, 11:41 a.m. |
| Last Update | July 13, 2026, 11:41 a.m. |
| CVSS3.0 : 警告 | |
| Score | 6.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
| WSO2 |
| Identity Server as Key Manager 5.10.0 以上 5.10.0.375 未満 |
| WSO2 API Control Plane 4.5.0 以上 4.5.0.44 未満 |
| WSO2 API Control Plane 4.6.0 以上 4.6.0.8 未満 |
| WSO2 API Manager 3.1.0 以上 3.1.0.355 未満 |
| WSO2 API Manager 3.2.0 以上 3.2.0.459 未満 |
| WSO2 API Manager 3.2.1 以上 3.2.1.78 未満 |
| WSO2 API Manager 4.0.0 以上 4.0.0.380 未満 |
| WSO2 API Manager 4.1.0 以上 4.1.0.243 未満 |
| WSO2 API Manager 4.2.0 以上 4.2.0.183 未満 |
| WSO2 API Manager 4.3.0 以上 4.3.0.94 未満 |
| WSO2 API Manager 4.4.0 以上 4.4.0.58 未満 |
| WSO2 API Manager 4.5.0 以上 4.5.0.43 未満 |
| WSO2 API Manager 4.6.0 以上 4.6.0.7 未満 |
| WSO2 Identity Server 5.10.0 以上 5.10.0.384 未満 |
| WSO2 Identity Server 6.0.0 以上 6.0.0.255 未満 |
| WSO2 Identity Server 7.0.0 以上 7.0.0.131 未満 |
| WSO2 Identity Server 7.1.0 以上 7.1.0.51 未満 |
| WSO2 Open Banking AM 2.0.0 以上 2.0.0.404 未満 |
| WSO2 Open Banking IAM 2.0.0 以上 2.0.0.424 未満 |
| WSO2 Traffic Manager 4.5.0 以上 4.5.0.42 未満 |
| WSO2 Traffic Manager 4.6.0 以上 4.6.0.7 未満 |
| WSO2 Universal Gateway 4.5.0 以上 4.5.0.42 未満 |
| WSO2 Universal Gateway 4.6.0 以上 4.6.0.7 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年07月13日] 掲載 |
July 13, 2026, 11:41 a.m. |
| Summary | The software accepts user-supplied input via a URL parameter without adequate output encoding before reflecting it back to the user's browser. This condition allows an attacker to inject malicious script content into pages served by the application. By leveraging this weakness, an attacker can cause the user's browser to redirect to a malicious website, modify the UI of the webpage, or retrieve information from the browser. However, the impact is mitigated by the use of httpOnly flags on session-related cookies, preventing session hijacking. |
|---|---|
| Publication Date | July 6, 2026, 8:16 p.m. |
| Registration Date | July 7, 2026, 4:22 a.m. |
| Last Update | July 9, 2026, 10:04 p.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:wso2:api_control_plane:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.44 | |||
| cpe:2.3:a:wso2:api_control_plane:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.8 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.1.0 | 3.1.0.355 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.2.0 | 3.2.0.459 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 3.2.1 | 3.2.1.78 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.0.0 | 4.0.0.380 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.1.0 | 4.1.0.243 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.2.0 | 4.2.0.183 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.3.0 | 4.3.0.94 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.4.0 | 4.4.0.58 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.43 | |||
| cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.7 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 5.10.0 | 5.10.0.384 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 6.0.0 | 6.0.0.255 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 7.0.0 | 7.0.0.131 | |||
| cpe:2.3:a:wso2:identity_server:*:*:*:*:*:*:*:* | 7.1.0 | 7.1.0.51 | |||
| cpe:2.3:a:wso2:identity_server_as_key_manager:*:*:*:*:*:*:*:* | 5.10.0 | 5.10.0.375 | |||
| cpe:2.3:a:wso2:open_banking_am:*:*:*:*:*:*:*:* | 2.0.0 | 2.0.0.404 | |||
| cpe:2.3:a:wso2:open_banking_iam:*:*:*:*:*:*:*:* | 2.0.0 | 2.0.0.424 | |||
| cpe:2.3:a:wso2:traffic_manager:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.42 | |||
| cpe:2.3:a:wso2:traffic_manager:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.7 | |||
| cpe:2.3:a:wso2:universal_gateway:*:*:*:*:*:*:*:* | 4.5.0 | 4.5.0.42 | |||
| cpe:2.3:a:wso2:universal_gateway:*:*:*:*:*:*:*:* | 4.6.0 | 4.6.0.7 | |||