CVE-2025-12635
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
IBM WebSphere Application Server 8.5, 9.0 oraz Liberty 17.0.0.3 do 25.0.0.12 są podatne na cross-site scripting z powodu nieprawidłowej walidacji danych wprowadzanych przez użytkownika. Atakujący może wykorzystać tę podatność, stosując specjalnie spreparowany URL, aby przekierować użytkownika na złośliwą stronę.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia sesji użytkownika, kradzieży danych lub zainfekowania przeglądarki złośliwym oprogramowaniem. Może to prowadzić do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez IBM dla dotkniętych wersji. Dodatkowo należy rozważyć wdrożenie mechanizmów filtrowania i walidacji danych wejściowych w aplikacjach.
Inne podatności w IBM WebSphere Application Server
Zobacz wszystkie- CVE-2017-1382Wysokie
IBM WebSphere Application Server w wersjach 7.0, 8.0, 8.5 i 9.0 może tworzyć pliki z domyślnymi uprawnieniami zamiast dostosowanych, gdy używane są niestandardowe skrypty uruchamiające. Lokalny atakujący może wykorzystać tę podatność do uzyskania dostępu do plików z nieznanym skutkiem.
- CVE-2017-1194Wysokie
IBM WebSphere Application Server w wersjach 7.0, 8.0, 8.5 i 9.0 jest podatny na atak typu cross-site request forgery, co może umożliwić atakującemu wykonanie złośliwych i nieautoryzowanych działań przesyłanych od zaufanego użytkownika.
- CVE-2017-1151Wysokie
IBM WebSphere Application Server w wersjach 8.0, 8.5, 8.5.5 oraz 9.0, korzystający z OpenID Connect (OIDC) skonfigurowany z Trust Association Interceptor (TAI), może umożliwić użytkownikowi uzyskanie podwyższonych uprawnień w systemie.
- CVE-2016-8919Wysokie
IBM WebSphere Application Server może być podatny na atak typu denial of service, spowodowany zezwoleniem na uruchamianie zserializowanych obiektów z nieufnych źródeł, co prowadzi do zużycia zasobów.
- CVE-2016-5983Wysokie
IBM WebSphere Application Server (WAS) w wersjach 7.0 przed 7.0.0.43, 8.0 przed 8.0.0.13, 8.5 przed 8.5.5.11, 9.0 przed 9.0.0.2 oraz Liberty przed 16.0.0.4 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu Java poprzez spreparowany obiekt serializowany.
- CVE-2016-5986Wysokie
IBM WebSphere Application Server (WAS) w wersjach 7.x przed 7.0.0.43, 8.0.x przed 8.0.0.13, 8.5.x przed 8.5.5.11, 9.0.x przed 9.0.0.2 oraz Liberty przed 16.0.0.3 niewłaściwie obsługuje odpowiedzi, co pozwala zdalnym atakującym na uzyskanie poufnych informacji za pomocą nieokreślonych wektorów.
- CVE-2015-1920Wysokie
IBM WebSphere Application Server (WAS) w wersjach 6.1 do 6.1.0.47, 7.0 przed 7.0.0.39, 8.0 przed 8.0.0.11 oraz 8.5 przed 8.5.5.6 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wysyłanie spreparowanych instrukcji w sesji portu zarządzania.
- CVE-2014-4764Wysokie
IBM WebSphere Application Server (WAS) w wersjach 8.0.x przed 8.0.0.10 oraz 8.5.x przed 8.5.5.3, przy włączonym Load Balancer dla IPv4 Dispatcher, umożliwia zdalnym atakującym spowodowanie awarii usługi (crash Load Balancera) poprzez nieokreślone wektory.
- CVE-2014-0964Wysokie
IBM WebSphere Application Server w wersjach od 6.1.0.0 do 6.1.0.47 oraz od 6.0.2.0 do 6.0.2.43 jest podatny na atak typu denial of service, który może być przeprowadzony przez złośliwy ruch TLS.
- CVE-2026-14529Krytyczne
Podatność SSRF w IBM WebSphere Application Server 9.0, 8.5 oraz Liberty 17.0.0.3-26.0.0.8 występuje, gdy włączona jest funkcja SIP container (sipServlet-1.1). Atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych zasobów.
Oryginalny opis (angielski, źródło NVD)
IBM WebSphere Application Server 8.5, 9.0 and IBM WebSphere Application Server Liberty 17.0.0.3 through 25.0.0.12 are affected by cross-site scripting due to improper validation of user-supplied input. An attacker could exploit this vulnerability by using a specially crafted URL to redirect the user to a malicious site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS