CVE-2026-5430

Nome do Software Vulnerável e Versões Afetadas WSO2 API Manager versões 4.1.0 a 4.6.0 WSO2 API Control Plane versões 4.5.0 a 4.6.0 WSO2 Traffic Manager versões 4.5.0 a 4.6.0 WSO2 Universal Gateway versões 4.5.0 a 4.6.0

Description O mecanismo de autenticação JWT valida incorretamente tokens assinados com algoritmos diferentes daqueles explicitamente configurados ou suportados. Isso ocorre porque o OAuthAuthenticationInterceptor não lida adequadamente com as exceções lançadas por JWTUtil.verifyTokenSignature() quando um algoritmo não suportado é utilizado, permitindo que a requisição prossiga em vez de ser rejeitada. Um invasor pode explorar isso criando um JWT usando um algoritmo não suportado (como HS256 quando o servidor espera RSA), resultando em um bypass de autenticação. Isso pode levar ao acesso não autorizado ao sistema, incluindo o comprometimento potencial de contas administrativas e a tomada total de controle de contas. A exploração ativa foi confirmada, com invasores utilizando reivindicações administrativas forjadas para atingir APIs REST de gerenciamento na porta 9443, especificamente endpoints como /api/am/admin/ e /api/am/publisher/.

Recommendations Atualizar o WSO2 API Manager 4.1.0 para o nível de atualização 257 (4.1.0.257) ou posterior. Atualizar o WSO2 API Manager 4.2.0 para o nível de atualização 197 (4.2.0.197) ou posterior. Atualizar o WSO2 API Manager 4.3.0 para o nível de atualização 108 (4.3.0.108) ou posterior. Atualizar o WSO2 API Manager 4.4.0 para o nível de atualização 72 (4.4.0.72) ou posterior. Atualizar o WSO2 API Manager 4.5.0 para o nível de atualização 57 (4.5.0.57) ou posterior. Atualizar o WSO2 API Manager 4.6.0 para o nível de atualização 21 (4.6.0.21) ou posterior. Atualizar o WSO2 API Control Plane 4.5.0 para o nível de atualização 58 (4.5.0.58) ou posterior. Atualizar o WSO2 API Control Plane 4.6.0 para o nível de atualização 22 (4.6.0.22) ou posterior. Atualizar o WSO2 Traffic Manager 4.5.0 para o nível de atualização 56 (4.5.0.56) ou posterior. Atualizar o WSO2 Traffic Manager 4.6.0 para o nível de atualização 21 (4.6.0.21) ou posterior. Atualizar o WSO2 Universal Gateway 4.5.0 para o nível de atualização 57 (4.5.0.57) ou posterior. Atualizar o WSO2 Universal Gateway 4.6.0 para o nível de atualização 21 (4.6.0.21) ou posterior. Como mitigação temporária, isole a porta 9443 ou restrinja o acesso aos endpoints da API REST de gerenciamento a redes confiáveis. Revogue sessões e rotacione credenciais expostas se houver suspeita de comprometimento.