WSO2 ha revelado una vulnerabilidad crítica de omisión de autenticación que podría permitir a atacantes remotos tomar el control de cuentas, incluidas las cuentas administrativas, en los productos de gestión de API afectados.

Identificada como CVE-2026-5430, el fallo ha recibido una puntuación CVSS de 10.0 y no requiere autenticación ni interacción del usuario para ser explotado.

El Aviso de Seguridad WSO2-2026-5328, publicado el 3 de mayo de 2026, detalla el problema. Afecta a los despliegues de WSO2 API Control Plane, API Manager, Traffic Manager y Universal Gateway en varias versiones de productos actualmente soportadas.

La CVE-2026-5430 existe porque los productos afectados de WSO2 procesan la autenticación JSON Web Token de forma insegura. Según WSO2, la autenticación JWT puede ser omitida cuando un atacante proporciona un token firmado con un algoritmo no compatible.

Esta condición puede permitir que un atacante no autenticado evite los controles de autenticación normales y obtenga acceso a funciones protegidas de la aplicación.

Un ataque exitoso podría conducir al acceso no autorizado a entornos de gestión de API, el compromiso de cuentas de usuario privilegiadas y la toma de control total de la cuenta.

Dado que las plataformas de gestión de API suelen controlar la publicación de API, el enrutamiento de puertas de enlace, el acceso de desarrolladores, las suscripciones, los ajustes de autenticación y las integraciones de servicios backend, el impacto podría extenderse más allá del propio despliegue de WSO2.

Vulnerabilidad de WSO2

Un atacante que obtenga acceso administrativo podría ser capaz de alterar configuraciones de API, crear usuarios no autorizados, modificar políticas de acceso, cambiar los endpoints de la API o acceder a datos sensibles expuestos a través de las API gestionadas.

En entornos empresariales, un plano de control de API comprometido también podría permitir a los atacantes interferir con servicios internos y cargas de trabajo conectadas a la nube.

WSO2 asignó al fallo un vector CVSS de CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, reflejando que puede ser explotado remotamente con baja complejidad, sin credenciales ni interacción del usuario.

El proveedor señaló que la puntuación se ajusta a 9.8 para despliegues de un solo inquilino (single-tenant), ya que el impacto de seguridad se limita a un único límite de autoridad de seguridad.

Las versiones afectadas incluyen WSO2 API Control Plane 4.6.0 y 4.5.0; versiones de WSO2 API Manager desde la 4.1.0 hasta la 4.6.0; WSO2 Traffic Manager 4.5.0 y 4.6.0; y WSO2 Universal Gateway 4.5.0 y 4.6.0.

WSO2 ha publicado correcciones para usuarios de código abierto a través de cambios de código públicos en los repositorios de Carbon API Management y Product APIM. Si tu organización no puede aplicar las correcciones inmediatamente, deberías migrar a la última versión no afectada del producto correspondiente.

Si tienes suscripciones de soporte de WSO2, deberías aplicar los niveles de actualización proporcionados por el proveedor o actualizaciones más recientes. Los niveles requeridos incluyen API Manager 4.6.0 actualización 21, 4.5.0 actualización 57, 4.4.0 actualización 72, 4.3.0 actualización 108, 4.2.0 actualización 197 y 4.1.0 actualización 257.

Tus equipos de seguridad deberían identificar las instancias de WSO2 expuestas a Internet, priorizar el parcheo, revisar la actividad de las cuentas de administrador e inspeccionar los registros de autenticación en busca de eventos sospechosos de validación de JWT. WSO2 acreditó al equipo de Hacktron por informar responsablemente sobre la vulnerabilidad.