WSO2-2020-0731: Уязвимости XXE и XSS в WSO2 Carbon

Потенциальные XXE и XSS были обнаружены в нескольких продуктах WSO2.

Раскрытие информации вендором:

Информация о раскрытии и исправлении этой уязвимости от вендора доступна здесь.

Почему нет CVE?

Ни я, ни вендор не запрашивали CVE для этих уязвимостей.

Требования:

Эта уязвимость требует:

• Убедить легитимного пользователя WSO2 добавить вредоносный репозиторий
  ИЛИ
  
• Действительные учётные данные пользователя

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.