VULNERABILIDADDetectada 02 NOV · 08:39

CVE-2026-18800 Exposición de información en el registro del Event Publisher de múltiples productos WSO2

Cuando un adaptador de salida del Event Publisher se configura con propiedades irrelevantes para su función, los productos afectados las registran en el log, lo que puede incluir credenciales u otra información confidencial. Un actor con acceso a los archivos de log 'wso2carbon' podría obtener esos datos y, si contienen credenciales, lograr acceso no autorizado.

4.4MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

WSO2 WSO2 API Manager
desde 3.1.0 hasta antes de 3.1.0.357desde 3.2.0 hasta antes de 3.2.0.465desde 3.2.1 hasta antes de 3.2.1.84desde 4.1.0 hasta antes de 4.1.0.249desde 4.2.0 hasta antes de 4.2.0.189desde 4.3.0 hasta antes de 4.3.0.100desde 4.4.0 hasta antes de 4.4.0.64desde 4.5.0 hasta antes de 4.5.0.49desde 4.6.0 hasta antes de 4.6.0.13
WSO2 WSO2 Traffic Manager
desde 4.5.0 hasta antes de 4.5.0.48desde 4.6.0 hasta antes de 4.6.0.13
WSO2 WSO2 API Control Plane
desde 4.5.0 hasta antes de 4.5.0.50desde 4.6.0 hasta antes de 4.6.0.14
WSO2 WSO2 Universal Gateway
desde 4.5.0 hasta antes de 4.5.0.49desde 4.6.0 hasta antes de 4.6.0.13
WSO2 WSO2 Identity Server
desde 5.10.0 hasta antes de 5.10.0.386desde 5.11.0 hasta antes de 5.11.0.433desde 6.0.0 hasta antes de 6.0.0.260desde 6.1.0 hasta antes de 6.1.0.261desde 7.0.0 hasta antes de 7.0.0.139desde 7.1.0 hasta antes de 7.1.0.47desde 7.2.0 hasta antes de 7.2.0.8
WSO2 WSO2 Identity Server as Key Manager
desde 5.10.0 hasta antes de 5.10.0.377
WSO2 WSO2 Open Banking IAM
desde 2.0.0 hasta antes de 2.0.0.426
WSO2 WSO2 Open Banking AM
desde 2.0.0 hasta antes de 2.0.0.406
WSO2 WSO2 Carbon Event Publisher Core
hasta antes de 5.2.65desde 5.3.0 hasta antes de 5.3.28

Qué hacer

Verificá si usás WSO2 API Manager y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.4 MEDIA

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueLocal
Complejidad del ataqueBaja
Privilegios requeridosAltos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

Descripción original

When an Event Publisher output adapter is configured with properties that are irrelevant to its function, the affected products log these irrelevant properties. This can inadvertently include sensitive user credentials or other confidential information depending on the nature of the misconfigured property. A malicious actor with access to the 'wso2carbon' log files could retrieve sensitive information logged by the system. This may potentially lead to unauthorized access if the logged data contains credentials or other critical secrets.

Referencias (1)

security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-202…

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.