CVE-2017-1161
WysokieStreszczenie
IBM API Connect w wersji 5.0.6.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń na systemie, z powodu niewłaściwej walidacji adresów URL w Portalu Dewelopera. Atakujący może wykorzystać tę podatność, tworząc złośliwy adres URL.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu i wykonania poleceń z uprawnieniami użytkownika www-data, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację IBM API Connect do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów walidacji adresów URL, aby zminimalizować ryzyko.
Inne podatności w IBM API Connect 5.0.6.0
Zobacz wszystkie- CVE-2017-1322Wysokie
IBM API Connect w wersji 5.0.6.0 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2017-1379Wysokie
IBM API Connect w wersji 5.0.0.0 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu niewłaściwego przetwarzania żądań do Portalu Dewelopera.
- CVE-2026-9074Krytyczne
IBM API Connect w wersjach 10.0.8.0 do 10.0.8.9 oraz 12.1.0.0 do 12.1.0.3 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w funkcji resetowania hasła.
- CVE-2025-13915Krytyczne
IBM API Connect w wersjach 10.0.8.0 do 10.0.8.5 oraz 10.0.11.0 może pozwolić zdalnemu atakującemu na ominięcie mechanizmów uwierzytelniania i uzyskanie nieautoryzowanego dostępu do aplikacji.
- CVE-2026-3144Wysokie
IBM API Connect w wersjach od 12.1.0.0 do 12.1.0.3 używa domyślnych poświadczeń, co może umożliwić atakującemu nieautoryzowany dostęp do aplikacji przed wymuszeniem zmiany tych poświadczeń przez system.
Oryginalny opis (angielski, źródło NVD)
IBM API Connect 5.0.6.0 could allow a remote attacker to execute arbitrary commands on the system, caused by improper validation of URLs for the Developer Portal. By crafting a malicious URL, an attacker could exploit this vulnerability to execute arbitrary commands on the system with the privileges of the www-data user. IBM X-Force ID: 122956.