CVE-2026-18800
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les produits WSO2 utilisant un adaptateur de sortie « Event Publisher » sont concernés. Cet outil est utilisé pour envoyer des événements système vers des destinations externes. La faille survient lorsque l'adaptateur est configuré avec des propriétés qui ne sont pas nécessaires à son fonctionnement ; le système enregistre alors incorrectement ces propriétés non pertinentes dans les journaux système.
Un attaquant disposant d'un accès local de haut niveau aux fichiers journaux « wso2carbon » peut lire ces journaux pour y trouver des identifiants ou des secrets divulgués. Cela compromet la confidentialité, mais n'impacte pas directement l'intégrité ou la disponibilité du système. L'exécution est simple, mais nécessite des privilèges administratifs déjà existants sur le serveur pour accéder aux fichiers journaux.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
When an Event Publisher output adapter is configured with properties that are irrelevant to its function, the affected products log these irrelevant properties. This can inadvertently include sensitive user credentials or other confidential information depending on the nature of the misconfigured property. A malicious actor with access to the 'wso2carbon' log files could retrieve sensitive information logged by the system. This may potentially lead to unauthorized access if the logged data contains credentials or other critical secrets.