CVE-2025-5605 WSO2产品管理控制台认证绕过漏洞

披露日期: 2025-10-24

来源: ed10eef1-636d-4fbe-9993-6890dfa878f8

漏洞信息

漏洞编号

CVE-2025-5605

漏洞类型

认证绕过、信息泄露

CVSS评分

4.3 中危

攻击向量

邻接 (AV:A)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WSO2多个产品管理控制台

漏洞概述

WSO2多个产品管理控制台存在认证绕过漏洞，攻击者可通过操纵请求URI绕过身份验证机制，访问受限资源。该漏洞允许未授权访问内部系统细节，虽然不允许完全账户泄露，但可能导致敏感信息暴露。

技术细节

攻击者通过构造特殊的请求URI，利用管理控制台的认证验证缺陷，绕过身份验证检查，直接访问受限的管理接口和资源。

攻击链分析

STEP 1

步骤1

攻击者识别WSO2管理控制台登录接口

STEP 2

步骤2

构造特殊请求URI，利用路径遍历和认证验证缺陷

STEP 3

步骤3

绕过身份验证，直接访问受限管理资源

STEP 4

步骤4

获取敏感系统信息和内存统计数据

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

GET /carbon/admin/login.jsp?redirectURI=/portal/../carbon/performance HTTP/1.1

影响范围

WSO2多个产品（具体版本待确认）

防御指南

临时缓解措施

限制管理控制台访问，仅允许受信任的IP地址访问

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表