CVE-2025-11093

wso2 api control plane, wso2 api manager, wso2 enterprise integrator +3 lainnya

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2025-11093

Katalog CVE

CVSS 7.2 · High EPSS 0,47%

Kerentanan Improper Control of Generation of Code ('Code Injection') pada wso2 api control plane, wso2 api manager +4 lainnya. Skor CVSS 3.1 7.2 (High) menurut NVD.

Deskripsi (NVD)

An arbitrary code execution vulnerability exists in multiple WSO2 products due to insufficient restrictions in the GraalJS and NashornJS Script Mediator engines. Authenticated users with elevated privileges can execute arbitrary code within the integration runtime environment. By default, access to these scripting engines is limited to administrators in WSO2 Micro Integrator and WSO2 Enterprise Integrator, while in WSO2 API Manager, access extends to both administrators and API creators. This may allow trusted-but-privileged users to perform unauthorized actions or compromise the execution environment.

Rincian

Terbit di NVD
5 November 2025
Terakhir diubah
17 Juni 2026
Status NVD
Analyzed
CVSS 3.1
7.2 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-94: Improper Control of Generation of Code ('Code Injection')
EPSS (30 hari)
0,47% peluang dieksploitasi; lebih tinggi dari 39,0% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
wso2 api control plane Versi 4.5.0 hingga sebelum 4.5.0.29
wso2 api manager Versi 3.1.0 hingga sebelum 3.1.0.345
wso2 api manager Versi 3.2.0 hingga sebelum 3.2.0.446
wso2 api manager Versi 3.2.1 hingga sebelum 3.2.1.66
wso2 api manager Versi 4.1.0 hingga sebelum 4.1.0.228
wso2 api manager Versi 4.2.0 hingga sebelum 4.2.0.169
wso2 api manager Versi 4.3.0 hingga sebelum 4.3.0.81
wso2 api manager Versi 4.4.0 hingga sebelum 4.4.0.45
wso2 api manager Versi 4.5.0 hingga sebelum 4.5.0.28
wso2 enterprise integrator Versi 6.6.0 hingga sebelum 6.6.0.224
wso2 micro integrator Versi 4.0.0 hingga sebelum 4.0.0.145
wso2 micro integrator Versi 4.1.0 hingga sebelum 4.1.0.147
wso2 micro integrator Versi 4.2.0 hingga sebelum 4.2.0.141
wso2 micro integrator Versi 4.3.0 hingga sebelum 4.3.0.42
wso2 micro integrator Versi 4.4.0 hingga sebelum 4.4.0.27
wso2 traffic manager Versi 4.5.0 hingga sebelum 4.5.0.27
wso2 universal gateway Versi 4.5.0 hingga sebelum 4.5.0.27

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.