CVE 繁中資安情報網

回最新 CVE 列表

CVE-2026-16920 IBM API Connect confused deputy 漏洞可讓已驗證使用者繞過安全限制

揭露日期 2026-11-07CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

對象資安IT

CWE-441 CWE-441

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因
IBM API Connect 存在 confused deputy 弱點（CWE-441），細節官方未公開。
影響
已驗證攻擊者可繞過安全限制，CVSS 範圍為 Changed，C/I/A 皆為 High。
條件
需具備低權限帳號，可由網路發動，不需使用者互動。

版本比對

套件❌ 受影響版本✅ 安全版本
IBM API Connect12.1.0.0 – 12.1.1.2>= 12.1.1.3

修補方式

升級至 12.1.1.3 以上版本。

攻擊思路

  1. 取得低權限帳號：攻擊者需先持有 API Connect 的已驗證低權限帳號（PR:L），官方未說明帳號類型。 來源
  2. 網路存取：攻擊可由網路發動（AV:N），不需使用者互動；受影響元件與端點官方未公開。 來源
  3. 繞過安全限制：官方僅稱因 confused deputy 弱點可繞過安全限制；具體機制與後果未公開，代理行為屬推論。 來源

偵測提示

暫時緩解

IBM 表示無暫時緩解方式，請儘速升級至 IBM API Connect 12.1.1.3。升級前可盤點並縮減低權限帳號、加強稽核日誌監控。10.0.x 僅為此 CVE 未列出，非確認不受影響，請以 IBM 公告為準。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容
🚨【資安漏洞通報】CVE-2026-16920
等級：Critical (9.9)
受影響套件：IBM API Connect 12.1.0.0 – 12.1.1.2
漏洞簡述：IBM API Connect 存在 confused deputy 弱點（CWE-441），細節官方未公開。；已驗證攻擊者可繞過安全限制，CVSS 範圍為 Changed，C/I/A 皆為 High。；需具備低權限帳號，可由網路發動，不需使用者互動。
建議措施：升級至 12.1.1.3 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-16920

參考連結

同套件的其他 CVE