CVE-2025-13426
Publiée le 2025-12-05 · Dernière modification le 2026-09-25
Les utilisateurs de Google Apigee utilisant la politique JavaCallout sont affectés par une faille permettant l'exécution remoto de code. Un attaquant disposant de privilèges de bas niveau peut injecter un objet malveillant dans le MessageContext pour exécuter du code Java et des commandes système arbitraires, ce qui pourrait entraîner une compromission complète du système ou un déplacement latéral. Cette attaque peut être réalisée à distance via le réseau sans nécessiter d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability exists in Google Apigee's JavaCallout policy https://docs.apigee.com/api-platform/reference/policies/java-callout-policy that allows for remote code execution. It is possible for a user to write a JavaCallout that injected a malicious object into the MessageContext to execute arbitrary Java code and system commands at runtime, leading to unauthorized access to data, lateral movement within the network, and access to backend systems. The Apigee hybrid versions below have all been updated to protect from this vulnerability: * Hybrid_1.11.2+ * Hybrid_1.12.4+ * Hybrid_1.13.3+ * Hybrid_1.14.1+ * OPDK_5202+ * OPDK_5300+