CVE-2025-7043 Validación defectuosa de refresh tokens en productos WSO2

Qué es CVE-2025-7043

El cliente ForgeRock no valida correctamente los refresh tokens, por lo que un refresh token puede tratarse como access token válido y usarse para consumir recursos protegidos, eludiendo el flujo que exige credenciales de cliente. Un atacante que obtenga un refresh token robado o expuesto puede acceder directamente a recursos protegidos.

Productos y versiones afectadas

• WSO2 WSO2 API Manager

  • desde 3.2.0 hasta antes de 3.2.0.434
  • desde 3.2.1 hasta antes de 3.2.1.54
  • desde 4.1.0 hasta antes de 4.1.0.218
  • desde 4.2.0 hasta antes de 4.2.0.156
  • desde 4.3.0 hasta antes de 4.3.0.67
  • desde 4.4.0 hasta antes de 4.4.0.30
  • desde 4.5.0 hasta antes de 4.5.0.14

• WSO2 WSO2 Universal Gateway

  • desde 4.5.0 hasta antes de 4.5.0.14

• WSO2 WSO2 API Control Plane

  • desde 4.5.0 hasta antes de 4.5.0.15

• WSO2 Forgerock Key Manager Component

  • desde 1.0.0 hasta antes de 1.0.0.3
  • desde 1.0.0 hasta antes de 1.0.0.4
  • desde 1.1.0 hasta antes de 1.1.0.2
  • desde 1.1.5 hasta antes de 1.1.5.3
  • desde 1.1.5 hasta antes de 1.1.5.4

Qué hacer

1. Verificá si usás WSO2 API Manager y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The ForgeRock client fails to correctly validate refresh tokens. This allows a refresh token to be treated as a valid access token, enabling its use for consuming protected resources. This bypasses the intended security control that requires valid client credentials in addition to a refresh token to obtain a new access token. An attacker who obtains a stolen or exposed refresh token can leverage this vulnerability to directly access protected resources. This is possible because the standard security flow requiring client credentials to exchange a refresh token for an access token is circumvented.

Referencias

• security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-202…VENDOR-ADVISORY

Historial de la alerta

1. 19 OCT · 14:15VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.