CVE-2025-27368
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
IBM OpenPages 9.0 i 9.1 jest podatny na ujawnienie poufnych informacji z powodu słabszego niż oczekiwano zabezpieczenia niektórych punktów końcowych REST używanych przez interfejs użytkownika OpenPages. Uwierzytelniony użytkownik może uzyskać pewne informacje o metadanych systemu z obszarów wykraczających poza to, co powinien widzieć.
Ocena ryzyka
Naruszenie poufności — uwierzytelniony użytkownik może uzyskać dostęp do metadanych systemu, do których nie powinien mieć uprawnień, co może ułatwić dalsze ataki lub ujawnić informacje o strukturze systemu.
Rekomendacja
Zastosuj dostępne aktualizacje IBM OpenPages dla wersji 9.0 i 9.1. Przejrzyj uprawnienia użytkowników i ogranicz dostęp do punktów końcowych REST, jeśli to możliwe.
Inne podatności w IBM OpenPages
Zobacz wszystkie- CVE-2025-36223Średnie
IBM OpenPages 9.0 i 9.1 jest podatny na wstrzykiwanie nagłówków HTTP spowodowane niewłaściwą walidacją danych wejściowych w nagłówkach HOST. Może to umożliwić atakującemu przeprowadzenie różnych ataków, w tym cross-site scripting, zatruwania pamięci podręcznej lub przejęcia sesji.
- CVE-2025-33110Średnie
IBM OpenPages 9.1 oraz 9.0 z Watson jest podatny na wstrzykiwanie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu wykona się w przeglądarce ofiary w kontekście bezpieczeństwa hostowanej witryny.
- CVE-2025-36121Średnie
IBM OpenPages 9.1 i 9.0 jest podatny na wstrzyknięcie kodu HTML. Zdalny uwierzytelniony atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny.
Oryginalny opis (angielski, źródło NVD)
IBM OpenPages 9.0 and 9.1 is vulnerable to information disclosure of sensitive information due to a weaker than expected security for certain REST end points used by the user interface of OpenPages. An authenticated user is able to obtain certain information about system metadata for areas beyond what the user is intended to view.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS