WSO2 Multiple Products Unrestrictive Upload of File Vulnerability

NGHIÊM TRỌNG 9.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2022-29464 · Công bố 18/04/2022 · cập nhật 17/06/2026

WSO2 Multiple Products Unrestrictive Upload of File Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 25/04/2022. Hãy vá các hệ thống bị ảnh hưởng ngay. Lỗ hổng này đã được dùng trong các chiến dịch ransomware.

Tóm tắt nhanh

CVE-2022-29464 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng api manager (wso2), enterprise integrator (wso2), identity server (wso2).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 25/04/2022.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 100.0%, cao hơn 100.0% các lỗ hổng khác.
Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
api manager wso2	`≥ 2.2.0, ≤ 4.0.0`	Chưa có bản vá
enterprise integrator wso2	`≥ 6.2.0, ≤ 6.6.0`	Chưa có bản vá
identity server wso2	`≥ 5.2.0, ≤ 5.11.0`	Chưa có bản vá
identity server analytics wso2	`= 5.4.0= 5.4.1= 5.5.0= 5.6.0`	Chưa có bản vá
identity server as key manager wso2	`≥ 5.3.0, ≤ 5.10.0`	Chưa có bản vá
open banking am wso2	`≥ 1.3.0, ≤ 2.0.0`	Chưa có bản vá
open banking iam wso2	`= 2.0.0`	Chưa có bản vá

Mô tả

Certain WSO2 products allow unrestricted file upload with resultant remote code execution. The attacker must use a /fileupload endpoint with a Content-Disposition directory traversal sequence to reach a directory under the web root, such as a ../../../../repository/deployment/server/webapps directory. This affects WSO2 API Manager 2.2.0 up to 4.0.0, WSO2 Identity Server 5.2.0 up to 5.11.0, WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0 and 5.6.0, WSO2 Identity Server as Key Manager 5.3.0 up to 5.11.0, WSO2 Enterprise Integrator 6.2.0 up to 6.6.0, WSO2 Open Banking AM 1.4.0 up to 2.0.0 and WSO2 Open Banking KM 1.4.0, up to 2.0.0.