CVE-2026-4249

WSO2: Persistent DoS przez złośliwy JSON w mechanizmie throttlingu

CVSS 8.6v3.1pub. 2026-07-06upd. 2026-07-09

Mechanizm obsługi zdarzeń throttlingu w wielu produktach WSO2 akceptuje dostarczone przez użytkownika payloady JSON bez wystarczającej walidacji ich struktury i zawartości. Nieuwierzytelniony zdalny atakujący może wstrzyknąć złośliwe dane JSON, powodując trwały atak typu denial of service na API Gateway.

▸ Pokaż oryginał (EN)

The throttling event handling mechanism in multiple WSO2 products accepts user-supplied JSON payloads without sufficient validation of their structure and content. This allows an unauthenticated remote attacker to inject malicious JSON data that can lead to a persistent denial of service condition. Successful exploitation of this vulnerability can disrupt the API Gateway, preventing legitimate API traffic from being processed and impacting complete service availability. The denial of service is persistent, requiring manual intervention to restore normal operations.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji struktury i treści payloadów JSON przyjmowanych przez mechanizm obsługi zdarzeń throttlingu (CWE-707 — niewłaściwa neutralizacja danych wejściowych). Atakujący bez żadnego uwierzytelnienia może wysłać spreparowany payload JSON, który zostaje nieprawidłowo przetworzony przez system. Skutkiem jest trwały stan odmowy usługi, który utrzymuje się do czasu ręcznej interwencji administratora — system nie jest w stanie samoczynnie się zresetować.

Skutki

Atakujący może trwale zakłócić działanie API Gateway, uniemożliwiając przetwarzanie legalnego ruchu API i powodując całkowitą niedostępność usługi. Przywrócenie normalnego działania wymaga ręcznej interwencji, co znacząco wydłuża czas niedostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5236/

Kogo dotyczy

WSO2 API Control Plane oraz WSO2 API Manager — wersje wskazane w referencjach producenta (advisory WSO2-2026-5236)

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Wso2 Api Control Plane
APP
Wso2
4.5.0 – 4.5.0.55 (bez)4.6.0 – 4.6.0.19 (bez)
Wso2 Api Manager
APP
Wso2
4.0.0 – 4.0.0.390 (bez)4.1.0 – 4.1.0.254 (bez)4.2.0 – 4.2.0.194 (bez)4.3.0 – 4.3.0.105 (bez)4.4.0 – 4.4.0.69 (bez)4.5.0 – 4.5.0.54 (bez)4.6.0 – 4.6.0.18 (bez)
Wso2 Traffic Manager
APP
Wso2
4.5.0 – 4.5.0.53 (bez)4.6.0 – 4.6.0.18 (bez)
Wso2 Universal Gateway
APP
Wso2
4.5.0 – 4.5.0.54 (bez)4.6.0 – 4.6.0.18 (bez)