WSO2 Admin REST API SQL 注入：須管理員權限，核對產品更新層級

CVE-2026-2613

主要來源公告：2026-05-03

本站刊登：2026-11-02 · 內容更新：2026-11-02（香港日期）

情報摘要

WSO2-2026-5100／CVE-2026-2613 涉及已認證管理員可觸發的 SQL 注入。原廠公告日期為 2026 年 5 月 3 日，本次補錄不代表新發生入侵。

公告列出 API Manager 4.0.0、4.1.0、4.2.0、4.3.0、4.4.0、4.5.0、4.6.0，以及 API Control Plane、Traffic Manager、Universal Gateway 各自的 4.5.0 與 4.6.0。

問題位於 Admin REST API。已認證管理員可影響執行中的 SQL 查詢，推斷資料庫資訊；可能洩露敏感資料或影響資料庫服務可用性。

WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway

使用相關產品的香港開發、系統管理及資訊保安團隊

按原廠公告逐一核對產品、版本及 Update Level。訂閱用戶套用表列層級或以上；社群版套用公告連結的公開修補，若不可行則遷移至不受影響版本。勿僅比較產品主版本號。

WSO2 官方評為 High，CVSS 3.1 為 8.7，向量包含高權限要求；影響涵蓋資料機密性及資料庫服務可用性。

這不是無須登入的 SQL 注入；攻擊前提為管理員權限。更新層級按產品及版本不同，應直接查閱原廠修補表。

本次核實未建立野外利用或香港機構受影響的證據；漏洞通報不等於已發生入侵。