CVE-2026-5430CISA KEV · АКТИВНО В АТАКАХ
Authentication Bypass via JWT Algorithm Mismatch in Multiple WSO2 Products Allows Account Takeover
CVSS 3.1Critical
10.0/ 10.0
Опубликовано
Обновлено
В атаках
Подтверждено CISA
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.5.0.57, 4.6.0.21, 4.5.0.56, 4.5.0.58, 4.6.0.22, 4.1.0.257, 4.2.0.197, 4.3.0.108, 4.4.0.72, 9.20.74.401, 9.28.116.417, 9.29.120.236, 9.30.67.167, 9.31.86.158, 9.32.147.59
Установить актуальные обновления безопасности и патчи от производителя WSO2 для CVE-2026-5430. Настроить строгую валидацию заголовка `alg` в парсере JWT, принудительно отклоняя любые неподдерживаемые или неразрешенные алгоритмы.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход аутентификации в продуктах WSO2 из-за некорректной валидации алгоритма подписи JWT. Неаутентифицированный атакующий может сгенерировать поддельный токен и получить доступ к учетным записям.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Механизм аутентификации JWT принимает токены, подписанные алгоритмами, отличными от явно сконфигурированных или поддерживаемых системой. При передаче токена с неподдерживаемым алгоритмом валидация подписи завершается некорректно, что позволяет обойти проверку подлинности.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированный доступ к системе, компрометация административных учетных записей и полный захват аккаунтов (Account Takeover). В single-tenant развертываниях уязвимость оценивается в 9.8 по шкале CVSS:3.1 (полная потеря конфиденциальности, целостности и доступности).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
WSO2WSO2 Universal Gateway
>= 4.5.0➔Fix: 4.5.0.57
WSO2WSO2 Universal Gateway
>= 4.6.0➔Fix: 4.6.0.21
WSO2WSO2 Traffic Manager
>= 4.5.0➔Fix: 4.5.0.56
WSO2WSO2 Traffic Manager
>= 4.6.0➔Fix: 4.6.0.21
WSO2WSO2 API Control Plane
>= 4.5.0➔Fix: 4.5.0.58
WSO2WSO2 API Control Plane
>= 4.6.0➔Fix: 4.6.0.22
WSO2WSO2 API Manager
>= 4.1.0➔Fix: 4.1.0.257
WSO2WSO2 API Manager
>= 4.2.0➔Fix: 4.2.0.197
WSO2WSO2 API Manager
>= 4.3.0➔Fix: 4.3.0.108
WSO2WSO2 API Manager
>= 4.4.0➔Fix: 4.4.0.72
WSO2WSO2 API Manager
>= 4.5.0➔Fix: 4.5.0.57
WSO2WSO2 API Manager
>= 4.6.0➔Fix: 4.6.0.21
WSO2WSO2 Carbon API Manager Rest API Utility
>= 9.20.74➔Fix: 9.20.74.401
WSO2WSO2 Carbon API Manager Rest API Utility
>= 9.28.116➔Fix: 9.28.116.417
WSO2WSO2 Carbon API Manager Rest API Utility
>= 9.29.120➔Fix: 9.29.120.236
WSO2WSO2 Carbon API Manager Rest API Utility
>= 9.30.67➔Fix: 9.30.67.167
WSO2WSO2 Carbon API Manager Rest API Utility
>= 9.31.86➔Fix: 9.31.86.158
WSO2WSO2 Carbon API Manager Rest API Utility
>= 9.32.147➔Fix: 9.32.147.59
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-5430: Authentication Bypass via JWT Algorithm Mismatch in Multiple WSO2 Products Allows Account Takeover. URL: https://cve.futuretools.ru/cve/CVE-2026-5430
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_5430,
title = {{CVE-2026-5430: Authentication Bypass via JWT Algorithm Mismatch in Multiple WSO2 Products Allows Account Takeover}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-5430}},
note = {Оперативный инженерный анализ киберугроз}
}