ورود

جزئیات آسیب‌پذیری

CVE-2026-5430

بهره‌برداری فعال
WSO2 API Control PlaneWSO2 API ManagerWSO2 Carbon API Manager Rest API UtilityWSO2 Traffic ManagerWSO2 Universal Gateway

Authentication Bypass via JWT Algorithm Mismatch in Multiple WSO2 Products Allows Account Takeover

CVSS 3.1
10.0بحرانی
نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

The JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. This allows an attacker to craft a JWT with an unsupported algorithm, which is then incorrectly validated, leading to unauthorized access. Successful exploitation of this vulnerability may result in unauthorized access to the system, including the potential compromise of administrative accounts and full account takeover. The CVSS score is adjusted to 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) in single-tenant deployments, reflecting that the impact is contained within a single security authority boundary.

امتیازهای CVSS

امتیازنسخهمنبعبردار
10.0بحرانی 3.1 CVEProject cvelistV5 (CNA) (WSO2) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
WSO2 WSO2 API Control Plane 4.5.0 ≤ v < 4.5.0.58 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Control Plane 4.6.0 ≤ v < 4.6.0.22 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager v < 4.1.0 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.1.0 ≤ v < 4.1.0.257 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.2.0 ≤ v < 4.2.0.197 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.3.0 ≤ v < 4.3.0.108 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.4.0 ≤ v < 4.4.0.72 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.5.0 ≤ v < 4.5.0.57 CVEProject cvelistV5 (CNA)
WSO2 WSO2 API Manager 4.6.0 ≤ v < 4.6.0.21 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Rest API Utility 9.20.74 ≤ v < 9.20.74.401 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Rest API Utility 9.28.116 ≤ v < 9.28.116.417 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Rest API Utility 9.29.120 ≤ v < 9.29.120.236 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Rest API Utility 9.30.67 ≤ v < 9.30.67.167 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Rest API Utility 9.31.86 ≤ v < 9.31.86.158 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Carbon API Manager Rest API Utility 9.32.147 ≤ v < 9.32.147.59 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Traffic Manager 4.5.0 ≤ v < 4.5.0.56 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Traffic Manager 4.6.0 ≤ v < 4.6.0.21 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Universal Gateway 4.5.0 ≤ v < 4.5.0.57 CVEProject cvelistV5 (CNA)
WSO2 WSO2 Universal Gateway 4.6.0 ≤ v < 4.6.0.21 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۲

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۵/۱۵
آخرین به‌روزرسانی
۱۴۰۵/۰۷/۰۳
وضعیت
PUBLISHED
صادرکننده (CNA)
WSO2
اولویت کلون
به‌زودی

فهرست KEV آژانس CISA

تاریخ افزوده‌شدن
۱۴۰۵/۰۷/۰۲
مهلت رفع
۱۴۰۵/۰۷/۰۵
استفاده در باج‌افزار
نامشخص

پیش‌بینی بهره‌برداری (EPSS)

۲۲٫۳۹٪
احتمال بهره‌برداری در ۳۰ روز
۹۷٫۶٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable
yes
Exploitation
active
Technical Impact
total

ضعف‌ها (CWE)

  • CWE-347
    Improper Validation of Certificate With Host Mismatch