CVE-2026-5430: Luka w mechanizmie uwierzytelniania JWT w produktach WSO2

Co wiadomo

Mechanizm uwierzytelniania JWT w wielu produktach WSO2 akceptuje tokeny podpisane algorytmami innymi niż skonfigurowane lub wspierane, co umożliwia atakującemu stworzenie fałszywego tokena i uzyskanie nieautoryzowanego dostępu. Exploitacja może prowadzić do przejęcia kont administracyjnych i pełnej kontroli nad systemem.

Wpływ biznesowy

Naruszenie bezpieczeństwa może skutkować nieautoryzowanym dostępem do systemu, w tym kont administracyjnych, co zagraża integralności i poufności danych oraz ciągłości działania. W środowiskach jednowarstwowych wpływ jest ograniczony do jednej granicy bezpieczeństwa, jednak ryzyko jest krytyczne i wymaga natychmiastowej reakcji.

Rekomendowane działania administratora

Zaleca się niezwłoczne przejrzenie i zastosowanie dostępnych poprawek od WSO2 oraz ograniczenie ekspozycji systemów na zewnętrzne sieci. Należy również monitorować logi uwierzytelniania pod kątem podejrzanych aktywności i weryfikować konfigurację algorytmów JWT. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzanie aktualizacjami oraz pomoc w ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• CISA KEV
• Reference
• Reference