CVE-2026-5430
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 0.6%
- CWE
- CWE-347
- KEV Durumu
- Evet
Yayım tarihi: 6 Ağustos 2026 · CISA KEV son iyileştirme tarihi: 27 Eylül 2026
Etkilenen: wso2 api_control_plane
JWT kimlik doğrulama mekanizması, yalnızca açıkça yapılandırılan veya desteklenen algoritmalarla imzalanmış tokenları değil, diğer algoritmalarla imzalanmış tokenları da kabul eder. Bu, bir saldırganın desteklenmeyen bir algoritmayla bir JWT oluşturmasına ve bu tokenın yanlış bir şekilde doğrulanmasına, yetkisiz erişime yol açmasına olanak tanır. Bu zafiyetin başarılı bir şekilde kullanılmasının sonucu, sistemlere yetkisiz erişim dahil, idari hesapların potansiyel olarak tehlikeye atılması ve tam hesap ele geçirilmesi olabilir. CVSS puanı, tek kiracılı dağıtımlarda, etkilerin tek bir güvenlik otoritesi sınırı içinde kaldığını yansıtarak 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) olarak ayarlanır.
Orijinal açıklama (İngilizce)
The JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. This allows an attacker to craft a JWT with an unsupported algorithm, which is then incorrectly validated, leading to unauthorized access. Successful exploitation of this vulnerability may result in unauthorized access to the system, including the potential compromise of administrative accounts and full account takeover. The CVSS score is adjusted to 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) in single-tenant deployments, reflecting that the impact is contained within a single security authority boundary.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.