CVE-2026-5430: fallo crítico en WSO2 API Control Plane
Authentication Bypass via JWT Algorithm Mismatch in Multiple WSO2 Products Allows Account Takeover
Publicada el · Actualizada el
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Un fallo en la validación de tokens JWT permite que atacantes eludan la autenticación utilizando algoritmos no permitidos, obteniendo acceso no autorizado a cuentas, incluidas cuentas de administrador, sin credenciales válidas.
El mecanismo de validación de JWT no restringe los algoritmos de token a los explícitamente configurados (CWE-347), permitiendo que un atacante cree tokens con algoritmos arbitrarios que eluden la verificación de firma. Esta vulnerabilidad accesible por red no requiere autenticación ni interacción del usuario, resultando en compromiso completo de confidencialidad, integridad y disponibilidad dentro de los inquilinos afectados.
En el mismo producto, de las más peligrosas a las menos.