p PatchFirst

CVE-2026-3583

CVE-2026-3583 · Improper Token Revocation via OAuth2 Scope Enforcement in Multiple WSO2 Products [Disrupted Authentication Flows]

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.

When the `allowed_scopes` configuration is enabled, the OAuth2 token introspection mechanism does not immediately invalidate a token in the cache after a revocation request. This results in a scenario where an access token that was introspected immediately before a revocation request may be returned again to the client after revocation, until the relevant cache entry is cleared. The security consequence is that a revoked access token may be re-issued to the client during the cache lifetime. While the re-issued token is not treated as valid for API authorization, affected users may be unable to obtain a new valid access token until the cache is cleared, which can disrupt authentication flows.

CVSS 3.1 · Faible · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Produits et versions concernés

  • wso2 api manager

    Versions du logiciel
    • ≥ 0, < 3.1.0: Inconnu (custom)
    • ≥ 3.1.0, < 3.1.0.367: Concernée (custom)
    • ≥ 3.2.0, < 3.2.0.475: Concernée (custom)
    • ≥ 3.2.1, < 3.2.1.106: Concernée (custom)
    • ≥ 4.0.0, < 4.0.0.394: Concernée (custom)
    • ≥ 4.1.0, < 4.1.0.267: Concernée (custom)
    • ≥ 4.2.0, < 4.2.0.207: Concernée (custom)
    • ≥ 4.3.0, < 4.3.0.120: Concernée (custom)
    • ≥ 4.4.0, < 4.4.0.83: Concernée (custom)
    • ≥ 4.5.0, < 4.5.0.67: Concernée (custom)
    • ≥ 4.6.0, < 4.6.0.29: Concernée (custom)
    • ≥ 4.7.0, < 4.7.0.3: Concernée (custom)

    Mettez à jour vers 3.1.0.367; Mettez à jour vers 3.2.0.475; Mettez à jour vers 3.2.1.106; Mettez à jour vers 4.0.0.394; Mettez à jour vers 4.1.0.267; Mettez à jour vers 4.2.0.207; Mettez à jour vers 4.3.0.120; Mettez à jour vers 4.4.0.83; Mettez à jour vers 4.5.0.67; Mettez à jour vers 4.6.0.29; Mettez à jour vers 4.7.0.3

  • wso2 traffic manager

    Versions du logiciel
    • ≥ 0, < 4.5.0: Inconnu (custom)
    • ≥ 4.5.0, < 4.5.0.65: Concernée (custom)
    • ≥ 4.6.0, < 4.6.0.29: Concernée (custom)
    • ≥ 4.7.0, < 4.7.0.3: Concernée (custom)

    Mettez à jour vers 4.5.0.65; Mettez à jour vers 4.6.0.29; Mettez à jour vers 4.7.0.3

  • wso2 universal gateway

    Versions du logiciel
    • ≥ 0, < 4.5.0: Inconnu (custom)
    • ≥ 4.5.0, < 4.5.0.67: Concernée (custom)
    • ≥ 4.6.0, < 4.6.0.29: Concernée (custom)
    • ≥ 4.7.0, < 4.7.0.3: Concernée (custom)

    Mettez à jour vers 4.5.0.67; Mettez à jour vers 4.6.0.29; Mettez à jour vers 4.7.0.3

  • wso2 api control plane

    Versions du logiciel
    • ≥ 0, < 4.5.0: Inconnu (custom)
    • ≥ 4.5.0, < 4.5.0.68: Concernée (custom)
    • ≥ 4.6.0, < 4.6.0.30: Concernée (custom)
    • ≥ 4.7.0, < 4.7.0.3: Concernée (custom)

    Mettez à jour vers 4.5.0.68; Mettez à jour vers 4.6.0.30; Mettez à jour vers 4.7.0.3

  • wso2 identity server

    Versions du logiciel
    • ≥ 0, < 5.10.0: Inconnu (custom)
    • ≥ 5.10.0, < 5.10.0.397: Concernée (custom)
    • ≥ 5.11.0, < 5.11.0.444: Concernée (custom)
    • ≥ 6.0.0, < 6.0.0.270: Concernée (custom)
    • ≥ 6.1.0, < 6.1.0.269: Concernée (custom)
    • ≥ 7.0.0, < 7.0.0.152: Concernée (custom)
    • ≥ 7.1.0, < 7.1.0.61: Concernée (custom)
    • ≥ 7.2.0, < 7.2.0.20: Concernée (custom)
    • ≥ 7.3.0, < 7.3.0.1: Concernée (custom)

    Mettez à jour vers 5.10.0.397; Mettez à jour vers 5.11.0.444; Mettez à jour vers 6.0.0.270; Mettez à jour vers 6.1.0.269; Mettez à jour vers 7.0.0.152; Mettez à jour vers 7.1.0.61; Mettez à jour vers 7.2.0.20; Mettez à jour vers 7.3.0.1

  • wso2 open banking iam

    Versions du logiciel
    • ≥ 0, < 2.0.0: Inconnu (custom)
    • ≥ 2.0.0, < 2.0.0.434: Concernée (custom)

    Mettez à jour vers 2.0.0.434

  • wso2 identity server as key manager

    Versions du logiciel
    • ≥ 0, < 5.10.0: Inconnu (custom)
    • ≥ 5.10.0, < 5.10.0.387: Concernée (custom)

    Mettez à jour vers 5.10.0.387

  • wso2 open banking am

    Versions du logiciel
    • ≥ 0, < 2.0.0: Inconnu (custom)
    • ≥ 2.0.0, < 2.0.0.414: Concernée (custom)

    Mettez à jour vers 2.0.0.414

  • wso2 carbon oauth

    Versions du logiciel
    • ≥ 6.4.2, < 6.4.2.178: Concernée (custom)
    • ≥ 6.4.111, < 6.4.111.174: Concernée (custom)
    • ≥ 6.4.176, < 6.4.176.38: Concernée (custom)
    • ≥ 6.4.180, < 6.4.180.25: Concernée (custom)
    • ≥ 6.8.0, < 6.8.0.59: Concernée (custom)
    • ≥ 6.9.6, < 6.9.6.36: Concernée (custom)
    • ≥ 6.11.21, < 6.11.21.118: Concernée (custom)
    • ≥ 6.13.16, < 6.13.16.32: Concernée (custom)
    • ≥ 6.13.19, < 6.13.19.23: Concernée (custom)
    • ≥ 6.13.27, < 6.13.27.21: Concernée (custom)
    • ≥ 6.13.41, < 6.13.41.9: Concernée (custom)
    • ≥ 6.14.14, < 6.14.14.3: Concernée (custom)
    • ≥ 7.0.26, < 7.0.26.103: Concernée (custom)
    • ≥ 7.0.259, < 7.0.259.54: Concernée (custom)
    • ≥ 7.0.385, < 7.0.385.15: Concernée (custom)
    • ≥ 7.4.99, < 7.4.99.5: Concernée (custom)
    • ≥ 7.5.78: Non concernée (custom)

    Mettez à jour vers 6.11.21.118; Mettez à jour vers 6.13.16.32; Mettez à jour vers 6.13.19.23; Mettez à jour vers 6.13.27.21; Mettez à jour vers 6.13.41.9; Mettez à jour vers 6.14.14.3; Mettez à jour vers 6.4.111.174; Mettez à jour vers 6.4.176.38; Mettez à jour vers 6.4.180.25; Mettez à jour vers 6.4.2.178; Mettez à jour vers 6.8.0.59; Mettez à jour vers 6.9.6.36; Mettez à jour vers 7.0.259.54; Mettez à jour vers 7.0.26.103; Mettez à jour vers 7.0.385.15; Mettez à jour vers 7.4.99.5

Sources originales

Vérifiez votre serveur →