Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-4052

WSO2 API Manager'da token endpoint üzerinden yetki yükseltme açığı

WSO2 API Control PlaneWSO2 API ManagerWSO2 Identity Server Key Manager Connector (apim-km-wso2is)

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
WSO2

Yönetici özeti

Bu açık, API yönetim altyapısının kontrolünün kötü niyetli kişilerin eline geçmesine yol açabilecek ciddi bir risk taşımaktadır. Kendi hesabını oluşturabilen herkes sistemin en kritik bölümlerine erişebilir hale gelebilir. Etkilenen sistemler için vakit kaybetmeden güncelleme yapılması önerilir.

ÖzetTürkçe

Bu açık, WSO2 Identity Server'ın veritabanı paylaşımlı Resident Key Manager olarak yapılandırıldığı dağıtımları etkiler. Bu ortamlarda kendi kendine kaydolmuş bir kullanıcı, WSO2 Identity Server token endpoint'inden token alarak WSO2 API Manager'ın System REST API'lerine erişebilir. Etkilenen ürünler arasında WSO2 API Manager 4.1.0–4.6.0, WSO2 API Control Plane 4.5.0 ve 4.6.0 ile 1.8.8 öncesi WSO2 Identity Server Key Manager Connector (apim-km-wso2is) bulunur.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapılmamış bir hesapla bile yönetici düzeyindeki sistem API'lerine erişebilir; bu da API yapılandırmasını ele geçirme, verileri okuma veya değiştirme ve sistemin tamamını etkileyecek değişiklikler yapma imkânı verir.

Kaynaktaki açıklama (İngilizce)

This issue only impacts deployments where WSO2 Identity Server is configured as a Resident Key Manager with database sharing. In such environments, a self-registered user may gain access to the System REST APIs of WSO2 API Manager by obtaining a token from the WSO2 Identity Server token endpoint.

Üreticinin çözüm notu (İngilizce)

Follow the instructions given on https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5212/#solution

Ne yapmalı?

  1. WSO2'nin güvenlik danışmanlığında belirtilen çözüm adımlarını uygulayın. Etkilenen Key Manager Connector bileşenini 1.8.8 veya üzeri bir sürüme yükseltin. Üretici
  2. Güncelleme sonrasında WSO2 Identity Server'ın Resident Key Manager olarak kullanıldığı ve veritabanının paylaşıldığı yapılandırmayı gözden geçirin. Genel öneri
  3. Güncelleme öncesinde, kendi kendine kaydolan kullanıcıların System REST API'lerine token ile erişip erişemediğini test edin. Genel öneri

Ek önlemler

  • Kendi kendine kayıt özelliğini, gerçekten gerekli olmadığı sürece devre dışı bırakın veya kısıtlayın. Genel öneri
  • System REST API'lerine yapılan istekleri ve token alım kayıtlarını izleyin, olağan dışı erişimleri araştırın. Genel öneri
  • Yönetici API'lerine erişimi yalnızca gerekli ağ segmentlerinden ve yetkili rollerden sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
WSO2 API Control Plane 4.5.0 –
4.6.0 –
WSO2 API Manager 4.1.0 –
4.2.0 –
4.3.0 –
4.4.0 –
4.5.0 –
4.6.0 –
WSO2 Identity Server Key Manager Connector (apim-km-wso2is) < 1.8.8 1.8.8

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.