Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

CVE-2026-3415

PUBLISHED 07.08.2026

CNA: WSO2

XML External Entity (XXE) Injection via Schema Validation in Multiple WSO2 Products Allows File Reading and Denial of Service

Обновлено: 06.08.2026
The XML and schema validation functionalities within the SchemaValidator Mediator process XML input as part of validation flows. Under certain conditions, the XML parser allows the resolution of external entities when handling user-supplied XML content during validation operations. This behavior can occur when an attacker supplies crafted XML payloads to the relevant mediator flows with sufficient privileges. Successful exploitation may allow a highly privileged actor to read files accessible within the server hosting the affected product. Additionally, it may be possible to trigger outbound requests to unintended internal or external locations, depending on the server environment and network configuration. Specially crafted XML payloads can also lead to excessive resource consumption during parsing, impacting the availability of the product.

CWE

Идентификатор Описание
CWE-776 The product uses XML documents and allows their structure to be defined with a Document Type Definition (DTD), but it does not properly control the number of recursive definitions of entities.

CVSS

Оценка Severity Версия Базовый вектор
8.7 HIGH 3.1 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:H

EPSS

Вероятность Severity Процентиль ? Дата расчёта
0.34% LOW 26.96 30.08.2026

Доп. Информация

Product Status

WSO2 API Manager
Product: WSO2 API Manager
Vendor: WSO2
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 0 до 3.2.0 unknown
Наблюдалось в версиях от 3.2.0 до 3.2.0.472 affected
Наблюдалось в версиях от 3.2.1 до 3.2.1.91 affected
Наблюдалось в версиях от 4.1.0 до 4.1.0.254 affected
Наблюдалось в версиях от 4.2.0 до 4.2.0.194 affected
Наблюдалось в версиях от 4.3.0 до 4.3.0.105 affected
Наблюдалось в версиях от 4.4.0 до 4.4.0.68 affected
Наблюдалось в версиях от 4.5.0 до 4.5.0.53 affected
Наблюдалось в версиях от 4.6.0 до 4.6.0.16 affected
WSO2 Universal Gateway
Product: WSO2 Universal Gateway
Vendor: WSO2
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 4.5.0 до 4.5.0.53 affected
Наблюдалось в версиях от 4.6.0 до 4.6.0.16 affected
WSO2 Traffic Manager
Product: WSO2 Traffic Manager
Vendor: WSO2
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 4.5.0 до 4.5.0.52 affected
Наблюдалось в версиях от 4.6.0 до 4.6.0.16 affected
WSO2 API Control Plane
Product: WSO2 API Control Plane
Vendor: WSO2
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 4.5.0 до 4.5.0.54 affected
Наблюдалось в версиях от 4.6.0 до 4.6.0.17 affected
WSO2 Carbon API Gateway
Product: WSO2 Carbon API Gateway
Vendor: WSO2
Default status: unknown
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 6.7.206 до 6.7.206.594 affected
Наблюдалось в версиях от 6.7.210 до 6.7.210.95 affected
Наблюдалось в версиях от 9.20.74 до 9.20.74.398 affected
Наблюдалось в версиях от 9.28.116 до 9.28.116.412 affected
Наблюдалось в версиях от 9.29.120 до 9.29.120.228 affected
Наблюдалось в версиях от 9.30.67 до 9.30.67.158 affected
Наблюдалось в версиях от 9.31.86 до 9.31.86.147 affected
Наблюдалось в версиях от 9.32.147 до 9.32.147.38 affected
Наблюдалось до версии * unaffected
WSO2 Carbon API Management Implementation
Product: WSO2 Carbon API Management Implementation
Vendor: WSO2
Default status: unknown
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 6.7.206 до 6.7.206.594 affected
Наблюдалось в версиях от 6.7.210 до 6.7.210.95 affected
Наблюдалось в версиях от 9.20.74 до 9.20.74.398 affected
Наблюдалось в версиях от 9.28.116 до 9.28.116.412 affected
Наблюдалось в версиях от 9.29.120 до 9.29.120.228 affected
Наблюдалось в версиях от 9.30.67 до 9.30.67.158 affected
Наблюдалось в версиях от 9.31.86 до 9.31.86.147 affected
Наблюдалось в версиях от 9.32.147 до 9.32.147.38 affected
Наблюдалось до версии * unaffected
 

Ссылки

CISA ADP Vulnrichment

Обновлено: 07.08.2026
Этот блок содержит дополнительную информацию, предоставленную программой CVE для этой уязвимости.

SSVC

Exploitation Automatable Technical Impact Версия Дата доступа
none no partial 2.0.3 07.08.2026

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.