CVE-2025-36054
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
IBM Business Automation Workflow w kontenerach (wersje 24.0.0 do 24.0.0-IF006, 24.0.1 do 24.0.1-IF004, 25.0.0 do 25.0.0-IF001) oraz IBM Business Automation Workflow traditional z Process Federation Server (wersje 24.0.0 do 24.0.1 i 25.0.0) są podatne na cross-site scripting. Luka pozwala nieuwierzytelnionemu atakującemu na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co może zmienić zamierzone działanie i potencjalnie doprowadzić do ujawnienia poświadczeń w zaufanej sesji.
Ocena ryzyka
XSS w interfejsie zarządzania może pozwolić atakującemu na wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych uwierzytelniających lub przejęcia sesji. Ryzyko jest wysokie ze względu na możliwość wykorzystania przez nieuwierzytelnionego atakującego.
Rekomendacja
Zastosuj najnowsze poprawki (IF) dla IBM Business Automation Workflow, które zawierają poprawkę tej podatności. Dodatkowo wdróż mechanizmy ochrony przed XSS, takie jak polityka bezpieczeństwa treści (CSP) i walidacja danych wejściowych.
Inne podatności w IBM Business Automation Workflow
Zobacz wszystkie- CVE-2026-12752Wysokie
IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę lukę do ujawnienia poufnych informacji lub zużycia zasobów pamięci.
- CVE-2026-12742Średnie
IBM Business Automation Workflow (kontenery i instalacja tradycyjna) zawiera brak kontroli autoryzacji, który pozwala uwierzytelnionemu atakującemu wywołać zastrzeżone akcje importu. Luka wynika z nieodpowiedniego egzekwowania uprawnień przy operacjach importu.
- CVE-2026-12756Wysokie
IBM Business Automation Workflow (kontenery i wersja tradycyjna) jest podatny na atak XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji lub zużycia zasobów pamięci.
- CVE-2026-13107Wysokie
IBM Business Automation Workflow (kontenery i wersja tradycyjna) może domyślnie używać artefaktów modelu programowania podatnych na ataki XML Entity Injection.
- CVE-2026-12730Niskie
IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych 26.0.0, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 007 oraz 24.0.0 do 24.0.0 Interim Fix 009 nie weryfikuje poprawnie, czy nazwa hosta pasuje do certyfikatu serwera, co potencjalnie pozwala na połączenia z serwerem kontrolowanym przez atakującego.
- CVE-2026-1248Średnie
IBM Business Automation Workflow (zarówno kontenery, jak i wersja tradycyjna) może ujawniać informacje o strukturze bazy danych w komunikatach błędów.
Oryginalny opis (angielski, źródło NVD)
IBM Business Automation Workflow containers 24.0.0 through 24.0.0-IF006, 24.0.1 through 24.0.1-IF004, 25.0.0 through 25.0.0-IF001 and IBM Business Automation Workflow traditional with Process Federation Server 24.0.0 through 24.0.1 and 25.0.0 are vulnerable to cross-site scripting. This vulnerability allows an unauthenticated attacker to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS