VDB-386524 · CVE-2026-0637 · WID-SEC-2026-2085

WSO2 API Control Plane Event Publisher Output Adapter properties Information Disclosure

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
2.7	$0-$5k	2.89-

Zusammenfassunginfo

In WSO2 API Control Plane, API Manager, Carbon Event Publisher Core, Identity Server, Identity Server as Key Manager, Open Banking AM, Open Banking IAM, Traffic Manager and Universal Gateway wurde eine problematische Schwachstelle ausgemacht. Es geht hierbei um eine nicht näher spezifizierte Funktion der Komponente Event Publisher Output Adapter. Die Bearbeitung des Arguments properties verursacht Information Disclosure. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2026-0637 gehandelt. Der Angriff kann über das Netzwerk erfolgen. Es ist soweit kein Exploit verfügbar.

Detailsinfo

In WSO2 API Control Plane, API Manager, Carbon Event Publisher Core, Identity Server, Identity Server as Key Manager, Open Banking AM, Open Banking IAM, Traffic Manager sowie Universal Gateway wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Hierbei betrifft es unbekannter Programmcode der Komponente Event Publisher Output Adapter. Mittels Manipulieren des Arguments properties mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-200. Mit Auswirkungen muss man rechnen für die Vertraulichkeit. CVE fasst zusammen:

When an Event Publisher output adapter is configured with irrelevant properties, the affected products log these properties. This logging occurs without sufficient validation or sanitization of the property values. A malicious actor with access to the 'wso2carbon' log files could retrieve sensitive information, such as user credentials or other confidential data, that was inadvertently logged due to misconfiguration, potentially leading to unauthorized access.

Das Advisory kann von security.docs.wso2.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 06.01.2026 mit CVE-2026-0637 vorgenommen. Die Ausnutzbarkeit gilt als leicht. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Zur Ausnutzung ist eine erweiterte Authentisierung erforderlich. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1592.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von CERT Bund (WID-SEC-2026-2085) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Betroffen

Open Source WSO2 API Manager

Produktinfo

Typ

Banking Software

Hersteller

WSO2

Name

Lizenz

Kommerziell

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 2.7
VulDB Meta Temp Score: 2.7

VulDB Base Score: 2.7
VulDB Temp Score: 2.7
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Information Disclosure
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔒

Timelineinfo

06.01.2026 CVE zugewiesen
06.08.2026 +211 Tage Advisory veröffentlicht
06.08.2026 +0 Tage VulDB Eintrag erstellt
06.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung