WSO2 разкри критична уязвимост за заобикаляне на автентификацията, която би могла да позволи на отдалечени атакуващи да поемат контрол над профили, включително администраторски акаунти, в засегнатите продукти за управление на API.

Проследяван като CVE-2026-5430, дефектът получи CVSS оценка 10.0 и не изисква автентификация или взаимодействие с потребителя за експлоатация.

Бюлетинът за сигурност WSO2-2026-5328 описва подробности за проблема, публикуван на 3 май 2026 г. Той засяга внедрявания на WSO2 API Control Plane, API Manager, Traffic Manager и Universal Gateway в няколко от поддържаните в момента версии на продуктите.

CVE-2026-5430 съществува, тъй като засегнатите продукти на WSO2 обработват автентификацията чрез JSON Web Token по небезопасен начин. Според WSO2, JWT автентификацията може да бъде заобиколена, когато атакуващ предостави токен, подписан с неподдържан алгоритъм.

Това състояние може да позволи на неоторизиран атакуващ да заобиколи стандартните проверки за автентификация и да получи достъп до защитени функции на приложението.

Успешна атака би могла да доведе до неоторизиран достъп до среди за управление на API, компрометиране на привилегировани потребителски акаунти и пълно превземане на профили.

Тъй като платформите за управление на API често контролират публикуването на API, маршрутизирането на портала (gateway), достъпа на разработчиците, абонаментите, настройките за автентификация и интеграциите на фонови услуги (backend), въздействието може да се разпростре извън самата система на WSO2.

WSO2 Vulnerability

Атакуващ, който получи администраторски достъп, може да бъде в състояние да променя API конфигурации, да създава неоторизирани потребители, да модифицира политики за достъп, да сменя крайни точки на API (endpoints) или да осъществява достъп до чувствителни данни, достъпни чрез управляваните API.

В корпоративни среди компрометирана контролна равнина за API (API control plane) може също така да позволи на киберпрестъпниците да пречат на вътрешни услуги и работни товари, свързани с облака.

WSO2 определи за дефекта CVSS вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, което отразява, че той може да бъде експлоатиран отдалечено с ниска сложност, без да са необходими идентификационни данни или взаимодействие с потребителя.

Доставчикът отбеляза, че оценката е коригирана на 9.8 за среди с един клиент (single-tenant), тъй като въздействието върху сигурността е ограничено до границата на един орган за сигурност.

Засегнатите версии включват WSO2 API Control Plane 4.6.0 и 4.5.0; WSO2 API Manager версии от 4.1.0 до 4.6.0; WSO2 Traffic Manager 4.5.0 и 4.6.0; и WSO2 Universal Gateway 4.5.0 и 4.6.0.

WSO2 пусна корекции за потребителите на софтуер с отворен код чрез публични промени в кода в хранилищата Carbon API Management и Product APIM. Организациите, които не могат незабавно да инсталират корекциите за сигурност, трябва да преминат към най-новата незасегната версия на съответния продукт.

Клиентите с абонаменти за поддръжка от WSO2 трябва да внедрят доставените от производителя нива на актуализация или по-нови такива. Изискваните нива включват API Manager 4.6.0 актуализация 21, 4.5.0 актуализация 57, 4.4.0 актуализация 72, 4.3.0 актуализация 108, 4.2.0 актуализация 197 и 4.1.0 актуализация 257.

Екипите по сигурност трябва да идентифицират достъпните през интернет инстанции на WSO2, да приоритезират отстраняването на уязвимостта, да прегледат активността на администраторските профили и да проверят дневниците за автентификация за съмнителни събития при валидиране на JWT. От WSO2 изразиха благодарност на екипа на Hacktron Team за отговорното съобщаване за уязвимостта.