MAL-006: WSO2 ESB के "Try It" में XML एक्सटर्नल एंटिटी

WSO2 ESB के "Try It" टूल में एक एरर-आधारित XML एक्सटर्नल एंटिटी (XXE) हमले की पहचान की गई थी।

CVE क्यों नहीं?

विक्रेता ने उत्तर दिया कि "Try it को प्रोडक्शन में अक्षम करने की अनुशंसा की जाती है" और कोई सार्वजनिक खुलासा नहीं किया गया।

आवश्यकताएँ:

इस भेद्यता के लिए आवश्यक है:

• मान्य उपयोगकर्ता क्रेडेंशियल
  या
• किसी वैध WSO2 रिपॉजिटरी से XML फ़ाइलों को संशोधित करना
  या
• "Try It" टूल को भेजी गई फ़ाइलों को इंटरसेप्ट और संशोधित करना

प्रूफ ऑफ कॉन्सेप्ट:

अधिक विवरण और शोषण प्रक्रिया इस PDF में पाई जा सकती है।