CVE-2026-5430: WSO2 Múltiplos Produtos: Contorno da Validação de Assinatura JWT
A CVE-2026-5430 afeta vários produtos WSO2, incluindo API Manager, API Control Plane, Traffic Manager, Universal Gateway e o Carbon API Manager REST API Utility. O mecanismo de autenticação JWT pode aceitar tokens assinados com algoritmos que não foram configurados ou suportados explicitamente, o que pode levar a acesso não autorizado. A CISA inclui a CVE no catálogo de vulnerabilidades exploradas conhecidas, por isso a priorização da correção pelo fornecedor é recomendada.
Visão geral
A WSO2 publicou um aviso de segurança (WSO2-2026-5328) que cobre vários produtos. A fraqueza é classificada como CWE-347, Verificação Imprópria de Assinatura Criptográfica, e está relacionada à forma como tokens JWT são validados quando o algoritmo de assinatura não é um dos esperados pelo produto. O título do registro menciona travessia de caminho, mas a descrição e a classificação CWE descrevem uma falha de validação JWT; por isso, a descrição é usada como referência.
Impacto
- O registro indica que a exploração bem-sucedida pode permitir acesso não autorizado, incluindo o possível comprometimento de contas administrativas e a tomada completa de contas.
- A entrada CVSS principal do registro tem pontuação base 10 (crítica). A descrição também cita uma pontuação ajustada de 9.8 para implantações de locatário único. Essa divergência não é resolvida pelo registro.
Produtos e versões afetados
O registro lista as seguintes faixas afetadas. Cada faixa começa na primeira versão indicada e termina antes da segunda.
- WSO2 API Control Plane: de 4.6.0 até 4.6.0.22, e de 4.5.0 até 4.5.0.58.
- WSO2 API Manager: de 4.6.0 até 4.6.0.21, de 4.5.0 até 4.5.0.57, de 4.4.0 até 4.4.0.72, de 4.3.0 até 4.3.0.108, de 4.2.0 até 4.2.0.197 e de 4.1.0 até 4.1.0.257.
- WSO2 Traffic Manager: de 4.5.0 até 4.5.0.56, e de 4.6.0 até 4.6.0.21.
- WSO2 Universal Gateway: de 4.5.0 até 4.5.0.57, e de 4.6.0 até 4.6.0.21.
- WSO2 Carbon API Manager REST API Utility: de 9.20.74 até 9.20.74.401, de 9.28.116 até 9.28.116.417, de 9.29.120 até 9.29.120.236, de 9.30.67 até 9.30.67.167, de 9.31.86 até 9.31.86.158 e de 9.32.147 até 9.32.147.59.
O campo de correções do registro está vazio. Os limites superiores acima são os limites exclusivos informados nos dados de versões afetadas, e o aviso do fornecedor deve ser consultado para confirmar as versões corrigidas exatas.
Status de exploração
A entrada do catálogo KEV da CISA para esta CVE está marcada como listada, com data de inclusão em 2026-09-24 e prazo em 2026-09-27. O uso em ransomware está registrado como desconhecido. Os dados SSVC do registro indicam exploração ativa e automatizável. A probabilidade EPSS do registro é 0.00588 (percentil 0.47448, datado de 2026-10-23), que é uma estimativa de probabilidade de exploração e não uma confirmação.
Correção e mitigação
- Aplique as atualizações ou mitigações descritas no aviso da WSO2 para cada produto e versão em uso.
- Priorize implantações expostas à internet e sistemas que concentram funções administrativas.
- Siga a ação obrigatória da CISA, que orienta a aplicar as mitigações do fornecedor e descontinuar o uso do produto caso não haja mitigação disponível.
- Revise a configuração da validação JWT, incluindo o conjunto de algoritmos de assinatura aceitos, e confirme que apenas os algoritmos esperados são permitidos.
Orientação para detecção
- Revise os logs de autenticação em busca de logins administrativos bem-sucedidos ou uso de tokens que não correspondam à atividade normal do provedor de identidade.
- Procure alterações em contas administrativas, funções ou configurações de API que não tenham sido feitas por processos de mudança aprovados.
- Preserve logs e evidências antes da correção, para permitir uma análise forense, em linha com a orientação da CISA referenciada na entrada KEV.
Limitações das informações disponíveis
- O registro não lista versões corrigidas; portanto, as compilações exatas devem ser confirmadas no aviso do fornecedor.
- As pontuações CVSS são inconsistentes no registro (10 na entrada principal e 9.8 na descrição para implantações de locatário único).
- O título menciona travessia de caminho, enquanto a descrição e a CWE tratam da verificação de assinatura JWT. Não há detalhes de travessia de caminho no registro.
- A associação com ransomware é desconhecida nas fontes consultadas.
Perguntas frequentes
A CVE-2026-5430 é explorada?
Sim. A entrada do catálogo KEV da CISA está marcada como listada e os dados SSVC do registro indicam exploração ativa. O uso em ransomware está registrado como desconhecido nas fontes consultadas.
Quais produtos WSO2 são afetados?
O registro lista WSO2 API Control Plane, API Manager, Traffic Manager, Universal Gateway e o Carbon API Manager REST API Utility, cada um com faixas específicas de versões afetadas.
O que os administradores devem fazer primeiro?
Verifique quais versões afetadas estão implantadas, priorize sistemas expostos à internet e siga o aviso da WSO2 para aplicar as atualizações ou mitigações do fornecedor. Revise a configuração de algoritmos JWT e os logs em busca de atividade administrativa inesperada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.