CVE-2026-2053: WSO2 API Manager: SSRF via cabeçalhos WS-Addressing no message flow
A CVE-2026-2053 afeta o componente de message flow do WSO2 API Manager, que não valida suficientemente a entrada controlada pelo usuário nos cabeçalhos WS-Addressing, possibilitando Server-Side Request Forgery (CWE-918). A NVD atribui pontuação base CVSS 3.1 de 10.0 (Crítica), com vetor de rede, sem privilégios e sem interação do usuário. Equipes defensivas devem identificar implantações nas faixas afetadas listadas, consultar o aviso do fornecedor para as versões corrigidas e restringir o tráfego de saída dos hosts do API Manager para recursos internos.
Visão geral
O componente de message flow do WSO2 API Manager não valida nem restringe suficientemente a entrada controlada pelo usuário nos cabeçalhos WS-Addressing. A fraqueza é classificada como Server-Side Request Forgery (CWE-918), ou seja, o servidor pode ser direcionado a enviar requisições para destinos escolhidos por quem envia a mensagem.
Impacto
- A pontuação base CVSS 3.1 da NVD é 10.0 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
- O registro descreve possível acesso a recursos ou serviços da rede interna normalmente inacessíveis a partir de redes externas.
- O registro também lista uma pontuação de 8.3 (CVSS 3.1) fornecida pelo CNA.
Produtos e versões afetados
- O registro lista o WSO2 API Manager nestas faixas: a partir de 3.1.0 até, sem incluir, 3.1.0.360; a partir de 3.2.0 até, sem incluir, 3.2.0.465; a partir de 3.2.1 até, sem incluir, 3.2.1.84; a partir de 4.0.0 até, sem incluir, 4.0.0.385; a partir de 4.2.0 até, sem incluir, 4.2.0.189.
- O registro não contém lista de versões corrigidas. Recomenda-se consultar o aviso do fornecedor para identificar as builds que tratam o problema.
Situação de exploração
O registro não indica inclusão no catálogo KEV da CISA (kev.listed é falso). Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Inventariar as implantações do WSO2 API Manager e comparar as builds com as faixas afetadas acima.
- Aplicar as correções descritas no aviso do fornecedor WSO2-2026-5072.
- Até que a correção esteja completa, restringir o acesso de saída de rede dos hosts do API Manager a faixas e serviços internos que eles não necessitam.
- Limitar a exposição de rede dos endpoints de message flow a clientes confiáveis, quando possível.
Orientações de detecção
- Revisar conexões de saída originadas dos hosts do API Manager, especialmente conexões para endereços internos ou serviços inesperados.
- Revisar o tráfego e os logs de entrada em termos gerais quanto a conteúdo incomum nos cabeçalhos WS-Addressing, correlacionando com requisições inesperadas iniciadas pelo servidor.
Limitações das informações disponíveis
- O registro não tem lista de versões corrigidas, e o conteúdo do aviso do fornecedor não está disponível no próprio registro.
- Detalhes técnicos do caminho de código vulnerável, configurações necessárias e exposição de implantações específicas não são informados.
- Não há relatos independentes de exploração nas fontes consultadas.
- Referência oficial: NVD.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-2053?
O componente de message flow não valida nem restringe suficientemente a entrada controlada pelo usuário nos cabeçalhos WS-Addressing, o que é classificado como Server-Side Request Forgery (CWE-918).
É necessária autenticação para alcançar o comportamento vulnerável?
O vetor da NVD indica ausência de privilégios exigidos e de interação do usuário, portanto o registro descreve um atacante de rede não autenticado.
Há exploração confirmada desta CVE?
O registro não mostra inclusão no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.