WSO2 · Multiple Products
CVE-2022-29464
WSO2 Multiple Products Unrestrictive Upload of File Vulnerability
Cos'è
Certain WSO2 products allow unrestricted file upload with resultant remote code execution. The attacker must use a /fileupload endpoint with a Content-Disposition directory traversal sequence to reach a directory under the web root, such as a ../../../../repository/deployment/server/webapps directory. This affects WSO2 API Manager 2.2.0 up to 4.0.0, WSO2 Identity Server 5.2.0 up to 5.11.0, WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0 and 5.6.0, WSO2 Identity Server as Key Manager 5.3.0 up to 5.11.0, WSO2 Enterprise Integrator 6.2.0 up to 6.6.0, WSO2 Open Banking AM 1.4.0 up to 2.0.0 and WSO2 Open Banking KM 1.4.0, up to 2.0.0.
CISA: Multiple WSO2 products allow for unrestricted file upload, resulting in remote code execution.
Cosa fare
Apply updates per vendor instructions.
Scadenza per le agenzie federali USA: 16 maggio 2022
- Aggiunta all'elenco CISA
- 25 aprile 2022
- Pubblicato
- 18 aprile 2022
- Gravità
- Critica 9,8 CVSS 3.1
- Probabilità di attacchi nei prossimi 30 giorni (EPSS)
- >99,9% tra il 0,1% più alto di tutte le vulnerabilità note
- Tipo di debolezza
- CWE-22
- Più dettagli
- NVD · CVE.org · CISA
Tutte le fonti (4)
Altre falle sfruttate di WSO2
| Aggiunto | Vulnerabilità | Prodotto | Gravità | Probabilità di attacco |
|---|---|---|---|---|
| 24 set 2026 | Path Traversal Vulnerability | Multiple Products | Critica 10,0 | 22% |
Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.