MAL-007: XML External Entity через локальные записи реестра в WSO2 ESB

В инструменте WSO2 ESB «Local Entities» была обнаружена атака с использованием встроенной внешней XML-сущности (XXE).

Почему нет CVE?

Вендор ответил, что данная уязвимость была «исправлена в WUM», и публичного раскрытия не было.

Требования:

Данная уязвимость требует:

• Действительные учётные данные пользователя

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.