CVE-2026-5430
CVSS 10 CRITICAL: the JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. EPSS 0.2% (13º percentile).
Vulnerabilità ed exploit · Attacco ad app web
WSO2 API Manager e i prodotti collegati di WSO2 sono finiti sotto tentativi di sfruttamento attivo per CVE-2026-5430, una falla che consente di presentare token JWT falsi con privilegi da amministratore. watchTowr riferisce di aver intercettato token forgiati il 13 settembre 2026, mentre WSO2 ha pubblicato la correzione per le versioni colpite.
Il problema è nella verifica della firma: il servizio accetta un JWT firmato con un algoritmo che dichiara di non supportare e lo tratta comunque come valido. In pratica, un attaccante può farsi passare per amministratore, riprendere il controllo della console e usare il gateway come punto di accesso ai backend, con esposizione di credenziali, consumer key e secret.
Per chi usa questi componenti davanti ad API interne o servizi condivisi, il rischio non resta confinato all’interfaccia del prodotto. Se l’accesso amministrativo è già stato ottenuto, il controllo del piano API può diventare un pivot verso sistemi e segreti a valle.
1 fonte · 2 ore fa
CVSS 10 CRITICAL: the JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. EPSS 0.2% (13º percentile).
The Hacker News
Active Exploitation Attempts Target WSO2 API Manager JWT Bypass With Forged Admin Tokens
WSO2 API Manager JWT bypass faces active exploitation attempts using forged tokens with administrator privileges.
originalePart of the PlainSec briefing for 2026-09-16
Every edition of this story: La porta API diventa un badge da amministratore falso