Der Fehler in WSO2 API Manager liegt in der Art, wie das Produkt JWT-Tokens verarbeitet: Die Authentifizierung akzeptiert Tokens, die mit einem nicht unterstützten Algorithmus signiert wurden – und lässt sie anschließend trotzdem passieren. Das beschreibt Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, in einer Stellungnahme gegenüber The Hacker News. Damit lässt sich die Signaturprüfung faktisch aushebeln, ohne dass ein gültiger Schlüssel nötig wäre.
WSO2 selbst stuft die Schwachstelle in seinem Hinweis vom Mai 2026 als kritisch ein: Die JWT-Authentifizierung könne umgangen werden, wenn ein Token mit einem nicht unterstützten Algorithmus signiert sei, was unbefugten Zugriff erlaube. Eine erfolgreiche Ausnutzung könne bis zur Kompromittierung von Administratorkonten und zur vollständigen Kontoübernahme reichen. Vergeben wurde die Kennung CVE-2026-5430 mit einem CVSS-Wert von 9,8; Ganchev spricht in seiner Einordnung von einem kritischen Fehler mit CVSS 10.0.
Die Reichweite ist erheblich: Nach Darstellung von watchTowr betrifft die Lücke API Manager 4.1.0 bis 4.6.0 sowie API Control Plane, Traffic Manager und Universal Gateway.
Entscheidend für die aktuelle Dringlichkeit sind die Beobachtungen aus dem Honeypot-Netz von watchTowr. Dort gingen am 13. September 2026 JWT-Tokens ein, in denen bereits Administratorrechte hinterlegt waren – ein deutliches Zeichen dafür, dass Angreifer die Schwachstelle in freier Wildbahn testen oder bereits nutzen.
Was mit einem solchen gefälschten Token möglich ist, skizziert Ganchev ebenfalls: Die Angreifer könnten damit vermutlich auf sämtliche API-Backend-Endpunkte samt zugehöriger Zugangsdaten zugreifen, ebenso auf Consumer Keys und Secrets aller registrierten Anwendungen. Hinzu kommt die exponierte Rolle des Produkts in der Architektur: Ein API-Manager ist per Definition dafür gebaut, API-Anfragen auf ihrem Weg zu internen Systemen entgegenzunehmen. Genau das mache ihn laut Ganchev zu einer idealen Position, um sensible Daten im Transit abzugreifen und mit internen Diensten zu interagieren – er bezeichnet das Produkt in diesem Zustand spöttisch als „Lateral Movement as a Service".
Entdeckt und gemeldet wurde die Schwachstelle nach Angaben von WSO2 vom Hacktron Team. Korrekturen liegen inzwischen vor: Community-Nutzer finden sie in den vom Hersteller genannten Pull Requests, Kunden mit WSO2 Support Subscription erhalten sie über die entsprechenden Update-Level. Angesichts der dokumentierten Angriffsversuche empfiehlt der Hersteller, die Aktualisierungen so schnell wie möglich einzuspielen.