Suivi KEV › Autres éditeurs

CVE-2022-29464 WSO2, plusieurs produits : téléversement de fichiers sans restriction

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 25 avril 2022.

  • Produit : WSO2 Multiple Products
  • Ajoutée au catalogue : 25 avril 2022
  • Échéance CISA : 16 mai 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

Plusieurs produits WSO2 permettent un téléversement de fichiers sans restriction, ce qui entraîne une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • api manager : versions ≥ 2.2.0 et ≤ 4.0.0
  • enterprise integrator : versions ≥ 6.2.0 et ≤ 6.6.0
  • identity server : versions ≥ 5.2.0 et ≤ 5.11.0
  • identity server as key manager : versions ≥ 5.3.0 et ≤ 5.10.0
  • open banking am : versions ≥ 1.3.0 et ≤ 2.0.0
  • open banking km : versions ≥ 1.3.0 et ≤ 1.5.0
  • identity server analytics : 4 versions, de 5.4.0 à 5.6.0
  • open banking iam : version 2.0.0

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

WSO2 Multiple Products Unrestrictive Upload of File Vulnerability

Multiple WSO2 products allow for unrestricted file upload, resulting in remote code execution.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de WSO2 Multiple Products

  • CVE-2026-5430 — WSO2, plusieurs produits : vulnérabilité de traversée de répertoires (24 septembre 2026)
  • CVE-2021-22681 — Rockwell, plusieurs produits : vulnérabilité de crédentiels insuffisamment protégés (5 mars 2026)
  • CVE-2017-7921 — Hikvision, plusieurs produits : vulnérabilité d'authentification incorrecte (5 mars 2026)
  • CVE-2024-55956 — Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non authentifié (17 décembre 2024)
  • CVE-2024-50623 — Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non restreint (13 décembre 2024)
  • CVE-2023-25717 — Ruckus Wireless, plusieurs produits : vulnérabilité CSRF et exécution de code à distance (12 mai 2023)
  • CVE-2023-22952 — SugarCRM, plusieurs produits : exécution de code à distance (2 février 2023)
  • CVE-2019-3929 — Crestron, plusieurs produits : vulnérabilité d'injection de commandes (15 avril 2022)

← Toutes les failles des autres éditeurs · Suivi KEV