CVE-2025-11969
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les API REST système de WSO2 API Manager présentent une faille où les mécanismes de contrôle d'accès ne sont pas correctement appliqués. Ces API sont utilisées pour la gestion interne et la configuration de la plateforme API Manager. La vulnérabilité permet à des utilisateurs disposant de rôles à faibles privilèges de contourner les restrictions et d'exécuter des actions administratives de haut niveau.
Un attaquant peut ainsi obtenir un contrôle administratif total sur le système, compromettant la confidentialité et l'intégrité de vos données et pouvant potentiellement interrompre la disponibilité du service. Cette exploitation est très accessible car elle peut être déclenchée via le réseau sans nécessiter d'authentification préalable ni d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The System REST APIs do not correctly enforce access control mechanisms, allowing users with lower privilege roles to execute administrative actions that should be restricted. This weakness permits unauthorized operations on the affected product. Successful exploitation could enable a malicious actor to perform unauthorized administrative operations, including executing administrative functions. APIs exposed through the WSO2 API Manager's API Gateway are not affected by this vulnerability.