CVE-2025-13647: Information Disclosure in Multiple WSO2 Products Allows Exposure of Certificate File Paths

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (WSO2). Не зависят от анализа CPE в NVD и обычно опережают его.

• WSO2 WSO2 Identity Server

  • до 5.10.0неизвестно
  • 5.10.0 и новее · до 5.10.0.381затронута
  • 5.11.0 и новее · до 5.11.0.428затронута
  • 6.0.0 и новее · до 6.0.0.255затронута
  • 6.1.0 и новее · до 6.1.0.255затронута
  • 7.0.0 и новее · до 7.0.0.133затронута
  • 7.1.0 и новее · до 7.1.0.41затронута
  • 7.2.0 и новее · до 7.2.0.3затронута

• WSO2 WSO2 Identity Server as Key Manager

  • до 5.10.0неизвестно
  • 5.10.0 и новее · до 5.10.0.372затронута

• WSO2 WSO2 Identity Server Keystore Rest API Commons

  • 1.0.82 и новее · до 1.0.82.25затронута
  • 1.0.190 и новее · до 1.0.190.17затронута
  • 1.2.3 и новее · до 1.2.3.6затронута
  • 1.2.23 и новее · до 1.2.23.10затронута
  • 1.2.176 и новее · до 1.2.176.18затронута
  • 1.3.83 и новее · до 1.3.83.10затронута
  • 1.3.213 и новее · до 1.3.213.1затронута
  • 1.3.221 и новеене затронута

• WSO2 WSO2 Identity Server Keystore Rest API V1

  • 1.0.82 и новее · до 1.0.82.25затронута
  • 1.0.190 и новее · до 1.0.190.17затронута
  • 1.2.3 и новее · до 1.2.3.6затронута
  • 1.2.23 и новее · до 1.2.23.10затронута
  • 1.2.176 и новее · до 1.2.176.18затронута
  • 1.3.83 и новее · до 1.3.83.10затронута
  • 1.3.213 и новее · до 1.3.213.1затронута
  • 1.3.221 и новеене затронута

• WSO2 WSO2 Open Banking IAM

  • до 2.0.0неизвестно
  • 2.0.0 и новее · до 2.0.0.421затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-6647Incomplete OAuth Token Revocation via Case Mismatch in WSO2 Identity Server Allows Continued Access After Lifecycle Events
  29Наблюдать
• CVE-2025-0326Improper Token Revocation in WSO2 Identity Server Allows Unauthorized Access
  29Наблюдать
• CVE-2024-8122Potential brute force vulnerability due to non-expiring SMS OTPs
  23Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2025-1359119 окт. 2026 г. · Username Enumeration via Authentication Endpoint in WSO2 Identity Server Allows User Account Discovery
  21Наблюдать
• ← РаньшеCVE-2024-556321 окт. 2026 г. · Incomplete reCaptcha Implementation in Authentication Flows in WSO2 Identity Server Allows Brute Force Attacks
  19Наблюдать
• Позже →CVE-2024-121412 нояб. 2026 г. · Open Redirect via Callback URL Validation in WSO2 Products Allows Phishing Attacks
  17Наблюдать

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.