CVE-2025-11969

🆕 New CVE WSO2 API Manager: broken access control in system REST APIs (CVE-2025-11969) Users with lower-privilege roles can carry out unauthorized administrative operations on affected products. Patch → 3.1.0.347, 3.2.0.450 and more https://cve.now/CVE-2025-11969?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

🚨 CVE-2025-11969 (9.4) 🚨 WSO2's System REST APIs let a user with a low-privilege role run admin-only actions. Affected versions and a fixed release aren't named yet, so check with WSO2 for your deployment. https://t.co/GGPfObv9lQ

📅 Jan 26, 2026: WSO2 publishes advisory WSO2-2025-4733 with the fix levels. 📅 Oct 27, 2025: the public fix, a pull request titled "Improve code", had already been merged. 📅 Nov 2, 2026: the CVE record finally appears, 280 days after the advisory. That is the CVE-2025-11969 timeline. Anyone whose patching starts from CVE IDs had nothing to match until this morning. ⚠️ What the record says: the System REST APIs in WSO2 API Manager, Identity Server as Key Manager, Open Banking AM and IAM and others do not enforce access control correctly. Lower privilege users can run administrative actions. CVSS 9.4. 🤔 But the prose says "lower privilege" while the vector says PR:N, no privileges. With PR:L it would score 8.3. WSO2 does not say which is right. 🛡️ "Not affected through the API Gateway" covers the APIs you publish. It does not cover the product's own management APIs. 🟢 No exploitation stated. Not in KEV. 🔗 https://www.pk-sharma.com/briefing/wso2-cve-2025-11969-system-rest-apis-let-lower-privilege-users-run-administrative-actions #WSO2 #APIManagement #APISecurity #OpenBanking #AccessControl #BrokenAccessControl #CVE #VulnerabilityManagement #PatchManagement #IdentityManagement #CyberSecurity #InfoSec #AppSec #IAM

WSO2 CVE-2025-11969 (CVSS 9.4): System REST APIs do not enforce access control correctly, so a low-privileged user can run administrative actions. It affects API Manager 3.1.0 to 4.5.0 and six other WSO2 products. APIs exposed through the API Gateway are not affected. VulnTracker recommends applying your product's WSO2 update level or higher. Details: http://vulntracker.io/cves/CVE-2025-11969 #WSO2 #CVE #InfoSec

【11/2 夕方】CVE・脆弱性ニュースまとめ ■国内 昼以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① WSO2「API Manager ほか」：管理用REST APIのアクセス制御の不備で、本来は管理者だけの操作を実行されうる脆弱性（CVE-2025-11969、CVSS v3.1 9.4） APIの公開・管理基盤として企業で使われるWSO2 API Managerなどで、システム用のREST APIがアクセス制御を正しく行っておらず、権限の低い利用者が管理者向けの操作を実行できてしまう脆弱性です。日本時間2日午後にhttp://cve.orgへ登録され、WSO2の評価はネットワーク越しに認証なしで攻撃できるとするCVSS 9.4（Critical）です。API Manager 3.1.0〜4.5.0の各系統のほか、Identity Server（Key Manager構成）5.10.0、Open Banking AM／IAM 2.0.0、API Control Plane・Universal Gateway・Traffic Manager 4.5.0が対象で、各系統ごとに修正済みのアップデート（例：4.5.0は4.5.0.32以降）が示されています。なお、API Gatewayを通して公開しているAPIそのものは影響を受けないとされています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2025-11969 出典：WSO2 https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2025-4733/ ②（続報）WAVLINK「無線LANルーター WN551X3-A」：さらに別機種でログイン不要のOSコマンドインジェクション2件（CVE-2026-120344／120345、CVSS v3.1 10.0、実証コード公開済み） 1日から取り上げているWAVLINK製ルーターの脆弱性について、昼以降に別機種WN551X3-A（M51X3_V251020-WO-182e965）で2件が登録されました。WireGuardのグループ設定処理とDNS関連の処理で、受け取った値がそのままOSのコマンドに渡ってしまう問題で、登録元のVulDBによるとログインなしでネットワーク越しに攻撃できるとされています。いずれも攻撃の実証コード（PoC）が公開されていますが、修正版や実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120344 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120345 出典：VulDB https://vuldb.com/vuln/429669 ③ Red Hat「FreeIPA／IdM（Red Hat Enterprise Linux）」：認証なしで管理者グループのアカウントを作られうる脆弱性、RHEL 7 ELSまで修正がそろう（CVE-2026-76578、CVSS v3.1 9.8） Linuxのユーザー・認証の一元管理に使われるFreeIPA（RHELではIdM）で、ワンタイムパスワード用トークンの書き込み権限の設定（ACI）が認証を求めていなかったため、LDAPに接続できる攻撃者がログインなしで任意のアカウントを作り、管理者グループに加えられてしまう脆弱性です。9月7日に公表されたもので、2日にhttp://cve.orgの記録が更新され、10月30日公開のRHEL 7 延長サポート（ELS）向けを含め、RHEL 7〜10の各版向けの修正パッケージが記載されました。Red Hatは「Critical」と評価し、初期設定のままのFreeIPAで再現を確認しているとして、信頼できないネットワークにLDAPを公開している環境はすぐに危険があるとしています。CISA KEVには登録されておらず、実際の悪用の報告も確認できていません。IdMを使っている場合は修正パッケージの適用状況を確認してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-76578 出典：Red Hat https://access.redhat.com/security/cve/CVE-2026-76578 ■注意点 ・米CISAのKEVは2日夕方の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。 ・同じFreeIPAでは、Active Directoryとの信頼関係を設定している環境で、AD利用者が別の名前になりすましてFreeIPAのサービスに入れてしまう脆弱性（CVE-2026-11861、CVSS v3.1 9.6、Red Hat評価はModerate）の記録も同時に更新されています。③と同じ修正パッケージで対応されています。 ・Android 11月のセキュリティ情報は、2日夕方の時点でまだ公開されていません。MediaTek（昼の②）の修正も各端末メーカーのアップデートで配信されるため、公開され次第確認をおすすめします。 #脆弱性 #CVE #サイバーセキュリティ