CVE 繁中資安情報網

回最新 CVE 列表

CVE-2026-16884 IBM API Connect XML External Entity（XXE）注入導致敏感資訊洩漏

揭露日期 2026-11-07CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L

對象資安IT

CWE-611 XML 外部實體（XXE）

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因
處理 XML 時未妥善限制外部實體的解析，形成 XXE 注入（CWE-611）。
影響
遠端攻擊者可能取得敏感資訊，並對完整性與可用性造成低度影響。
條件
依 CVSS 向量為網路可達、免權限、免互動；具體端點與是否須驗證官方未說明。

版本比對

套件❌ 受影響版本✅ 安全版本
IBM API Connect12.1.0.0 ~ 12.1.1.2>= 12.1.1.3

修補方式

升級至 12.1.1.3 以上版本。

攻擊思路

  1. 網路接觸：攻擊者自網路可達 IBM API Connect 12.1.x 中會處理 XML 的功能；官方未公開具體端點，也未說明是否須驗證。 來源
  2. XXE 注入：提交含外部實體宣告的 XML，因解析器未限制外部實體而被解析（CWE-611）。 來源
  3. 資訊取得：伺服器端內容可能經由實體解析被帶出，造成敏感資訊洩漏。 來源

偵測提示

暫時緩解

依 IBM 公告將 IBM API Connect 升級至 12.1.1.3，修補檔可由 IBM Fix Central 取得。IBM 公告列示暫時緩解措施為 None；升級前可限縮管理與 API 端點的網路曝露並加強上述日誌監控。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容
🚨【資安漏洞通報】CVE-2026-16884
等級：Critical (9.9)
受影響套件：IBM API Connect 12.1.0.0 ~ 12.1.1.2
漏洞簡述：處理 XML 時未妥善限制外部實體的解析，形成 XXE 注入（CWE-611）。；遠端攻擊者可能取得敏感資訊，並對完整性與可用性造成低度影響。；依 CVSS 向量為網路可達、免權限、免互動；具體端點與是否須驗證官方未說明。
建議措施：升級至 12.1.1.3 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-16884

參考連結

同套件的其他 CVE