shirusu VULNERABILITY WATCH

← 脆弱性一覧に戻る

CVE-2026-3583

Improper Token Revocation via OAuth2 Scope Enforcement in Multiple WSO2 Products [Disrupted Authentication Flows]

P3 CVSS最高 3.1

優先度判定理由: default 出典: cvelist・nvd

公式ソースで確認された事実（機械抽出）

公式説明（原文・英語） When the `allowed_scopes` configuration is enabled, the OAuth2 token introspection mechanism does not immediately invalidate a token in the cache after a revocation request. This results in a scenario where an access token that was introspected immediately before a revocation request may be returned again to the client after revocation, until the relevant cache entry is cleared. The security consequence is that a revoked access token may be re-issued to the client during the cache lifetime. While the re-issued token is not treated as valid for API authorization, affected users may be unable to
悪用状況 不明
KEV（米CISA既知悪用脆弱性カタログ） 未登録（確認 —）。KEV未掲載は「悪用されていない」ことを意味しません。
CVSS評価 ed10eef1-636d-4fbe-9993-6890dfa878f8 CVSS 3.1: 3.1
ed10eef1-636d-4fbe-9993-6890dfa878f8: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L
EPSS（今後30日以内の悪用確率・FIRST） —
修正バージョン 公表なし
公表日 2026年10月29日
最終更新 2026年10月29日 05:17
最終確認 2026年10月29日 08:24

対象製品・バージョン

製品 影響バージョン 修正バージョン ベンダー修正済み 利用者対応要否
WSO2 WSO2 API Manager 0 < 3.1.0、3.1.0、3.2.0、3.2.1、4.0.0、4.1.0、4.2.0、4.3.0、4.4.0、4.5.0、4.6.0、4.7.0 — 未告知 未告知
WSO2 WSO2 Traffic Manager 0 < 4.5.0、4.5.0、4.6.0、4.7.0 — 未告知 未告知
WSO2 WSO2 Universal Gateway 0 < 4.5.0、4.5.0、4.6.0、4.7.0 — 未告知 未告知
WSO2 WSO2 API Control Plane 0 < 4.5.0、4.5.0、4.6.0、4.7.0 — 未告知 未告知
WSO2 WSO2 Identity Server 0 < 5.10.0、5.10.0、5.11.0、6.0.0、6.1.0、7.0.0、7.1.0、7.2.0、7.3.0 — 未告知 未告知
WSO2 WSO2 Open Banking IAM 0 < 2.0.0、2.0.0 — 未告知 未告知
WSO2 WSO2 Identity Server as Key Manager 0 < 5.10.0、5.10.0 — 未告知 未告知
WSO2 WSO2 Open Banking AM 0 < 2.0.0、2.0.0 — 未告知 未告知
WSO2 WSO2 Carbon OAuth 6.4.2、6.4.111、6.4.176、6.4.180、6.8.0、6.9.6、6.11.21、6.13.16、6.13.19、6.13.27、6.13.41、6.14.14、7.0.26、7.0.259、7.0.385、7.4.99 — 未告知 未告知

「ベンダー修正済み」と「利用者対応要否」は別の事実として管理しています（ベンダー修正済みでも利用者側の更新が必要です）。

出典・根拠

ソース URL 取得時刻 本文ハッシュ（先頭12桁）
cvelist 一次情報を開く 2026年10月29日 08:22 bcaf896875bf
nvd 一次情報を開く 2026年10月29日 08:24 b47578d3ddfd
nvd 一次情報を開く 2026年10月29日 08:24 90b5352a76c0

数値・バージョン・日付は原文から機械抽出したものです。取得時刻はJST表記。日本語文面は自動生成であり、公式発表を置き換えるものではありません。

AIによる補助要約

AIによる補助要約は無効化されています（無料運用のため既定ではオフ）。一次情報をご確認ください。