CVE-2024-6429

mediumPriorität · verfolgen · 0EPSS 0.002 · 12. PerzentilEUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.21% (12th) EPSS

CVSS 4.3 · medium

Is it mine?

28 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · nvd · osv

EPSS · bewertet 2026-10-27

A content spoofing vulnerability exists in multiple WSO2 products due to improper error message handling. Under certain conditions, error messages are passed through URL parameters without validation, allowing malicious actors to inject arbitrary content into the UI. By exploiting this vulnerability, attackers can manipulate browser-displayed error messages, enabling social engineering attacks through deceptive or misleading content.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

4.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:Nsecondary · ENISA EU

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:NsecondaryAusnutzbarkeit 2.8 · Auswirkung 1.4

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:Nsecondary · OSV

v3.14mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-451USCWE-451US

betroffene Produkte (28)

Betroffene Produkte und Versionsbereiche.

WSO2 WSO2 API Manageralle Versionenenisa_euvdEU
WSO2 WSO2 API Manager3.2.0 → 3.2.0.409enisa_euvdEU
WSO2 WSO2 API Manager3.2.1 → 3.2.1.33enisa_euvdEU
WSO2 WSO2 API Manager4.0.0 → 4.0.0.327enisa_euvdEU
WSO2 WSO2 API Manager4.1.0 → 4.1.0.188enisa_euvdEU
WSO2 WSO2 API Manager4.2.0 → 4.2.0.128enisa_euvdEU
WSO2 WSO2 API Manager4.3.0 → 4.3.0.38enisa_euvdEU
WSO2 WSO2 API Manager4.4.0 → 4.4.0.4enisa_euvdEU
WSO2 WSO2 Identity Serveralle Versionenenisa_euvdEU
WSO2 WSO2 Identity Server5.10.0 → 5.10.0.314enisa_euvdEU
WSO2 WSO2 Identity Server5.11.0 → 5.11.0.359enisa_euvdEU
WSO2 WSO2 Identity Server6.0.0 → 6.0.0.203enisa_euvdEU
WSO2 WSO2 Identity Server6.1.0 → 6.1.0.176enisa_euvdEU
WSO2 WSO2 Identity Server7.0.0 → 7.0.0.48enisa_euvdEU
WSO2 WSO2 Identity Server as Key Manager5.10.0 → 5.10.0.338enisa_euvdEU
wso2 api manager= 3.2.0nvdUScpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
wso2 api manager= 3.2.1nvdUScpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
wso2 api manager= 4.0.0nvdUScpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
wso2 api manager= 4.1.0nvdUScpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
wso2 api manager= 4.2.0nvdUScpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*

20 von 28 angezeigt

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-r6f3-55wj-g9p3WSO2 Identity Server Apps allows content spoofing in logs2025-09-23ghsa · osvUS
A content spoofing issue exists in WSO2 Identity Server Apps, specifically in the Authentication Portal, due to improper handling of authentication error messages. When an authentication failure occurs, the portal previously accepted an `authFailureMsg` value supplied via URL and rendered it in the UI without validating it against the resource bundle. An attacker can craft a link that causes the portal to display attacker-controlled text in the error banner, enabling UI misrepresentation and social-engineering. The fix validates the message key against the resource bundle and encodes input before rendering. Upgrade to `org.wso2.identity.apps:authentication-portal` **2.4.4** or later to remediate.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd nvd osv NVD CVE.org MITRE

veröffentlicht 2025-09-23geändert 2026-06-17

Referenzen (3)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan