26 בספטמבר 2026
ה-token המזויף הגיע עם הרשאות מנהל מוכנות מראש, והמטרה הייתה הסודות של כל אפליקציה רשומה: החולשה בציון 10 ב-WSO2
שער API מחזיק כדין את פרטי האימות של כל מה שיושב מאחוריו, ובחולשה בציון 10 ב-WSO2 API Manager מספיק להרכיב token ולחתום אותו בשיטה שהשרת לא אמור לקבל. העדכון זמין מאז מאי, והניצול הראשון תועד ב-13 בספטמבר.