WSO2 System REST API 存取控制漏洞：核對產品更新層級，Gateway API 不在影響範圍

情報摘要

WSO2 的 WSO2-2025-4733／CVE-2025-11969 公告指出，System REST APIs 存取控制不足可讓低權限用戶執行未獲授權的管理操作。供應商將漏洞評為 Critical；經 API Manager Gateway 建立並公開的 API 不受此漏洞影響。

漏洞位於 System REST APIs 的存取控制，可能造成未獲授權的管理操作。官方明確排除經 API Manager API Gateway 建立並公開的 API；不要把所有業務 API 一概列為受影響。

供應商公告標示 2026 年 1 月 26 日發布；CVE 記錄於 11 月 2 日 05:53 UTC 公開，即香港時間約 13:53。11 月收錄不代表漏洞在本月才首次披露，也不代表在當日發生攻擊。

官方修補表另列 API Control Plane 4.5.0 更新層級 33，Traffic Manager／Universal Gateway 4.5.0 為 31。完整產品與舊版本更新層級應以原始公告為準。

受影響產品

WSO2 API Manager 3.1.0、3.2.0、3.2.1、4.0.0、4.1.0、4.2.0、4.3.0、4.4.0、4.5.0；API Control Plane／Traffic Manager／Universal Gateway 4.5.0；Identity Server as Key Manager 5.10.0；Open Banking AM／IAM 2.0.0。須連同更新層級核對。

適用讀者

維運 WSO2 API Manager、相關閘道及身分管理產品的平台與資安人員

建議行動

按官方公告逐一核對產品版本及 Update Level。訂閱用戶應更新至公告指定層級或更高；例如 API Manager 4.5.0 為 32、4.4.0 為 49、4.3.0 為 85，其他版本不可沿用這三個數值。社群用戶應按公告套用相應公開修補；若無法套用，遷移至該產品最新不受影響版本。

風險評級依據

WSO2 官方公告及 CNA 記錄列 CVSS v3.1 9.4（Critical）。向量為 PR:N，但正文描述低權限用戶；本報道保留兩者差異，不將其改寫成已證實完全無需登入。

解讀限制

官方正文的低權限描述與 CVSS PR:N 向量存在差異；本次未獨立測試認證條件，亦未替供應商解釋此差異。

未核實野外利用、香港部署數量或香港受害個案；不推定公告與 CVE 收錄日期相隔的原因。

資料來源

• WSO2：Security Advisory WSO2-2025-4733／CVE-2025-11969 ↗來源刊登：2026-01-26
• WSO2 CNA：CVE-2025-11969 官方記錄 ↗來源刊登：2026-11-02