CVE-2025-36153
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
IBM Concert w wersjach 1.0.0 do 2.0.0 jest podatny na cross-site scripting. Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając jego funkcjonalność i potencjalnie ujawniając dane uwierzytelniające w zaufanej sesji.
Ocena ryzyka
Może to prowadzić do kradzieży danych uwierzytelniających lub wykonania nieautoryzowanych akcji w kontekście zaufanej sesji użytkownika.
Rekomendacja
Zaktualizuj IBM Concert do wersji nowszej niż 2.0.0 lub zastosuj dostępne poprawki; rozważ wdrożenie WAF i monitorowanie.
Inne podatności w IBM Concert
Zobacz wszystkie- CVE-2025-33015Wysokie
IBM Concert w wersjach od 1.0.0 do 2.1.0 jest podatny na złośliwe przesyłanie plików, ponieważ nie weryfikuje zawartości plików przesyłanych do interfejsu webowego. Atakujący może wykorzystać tę lukę do przesłania szkodliwych plików.
- CVE-2026-6928Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 odwołuje się do zwolnionej pamięci lub uzyskuje do niej dostęp (use-after-free). Atakujący mogący wpłynąć na wykonanie programu lub dane wejściowe może wykorzystać tę lukę do uszkodzenia pamięci, awarii aplikacji lub wykonania dowolnego kodu.
- CVE-2026-6730Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 jest podatny na przepełnienie bufora spowodowane niewłaściwym sprawdzaniem granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod w systemie.
- CVE-2026-6721Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu na dostarczenie specjalnie spreparowanych danych wejściowych, które są włączane do poleceń systemu operacyjnego, co prowadzi do wykonania dowolnych poleceń. Udana eksploatacja umożliwia zdalne wykonanie kodu z uprawnieniami aplikacji.
- CVE-2026-17472Krytyczne
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu dostęp do nieautoryzowanych zasobów lub ich modyfikację z powodu użycia symboli wieloznacznych w definicjach uprawnień RBAC.
- CVE-2026-3627Krytyczne
IBM Concert w wersjach od 1.0.0 do 2.3.1 jest podatny na atak SQL injection. Zdalny atakujący może wysłać specjalnie spreparowane zapytania SQL, co może pozwolić mu na przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.
- CVE-2026-6719Wysokie
IBM Concert w wersjach od 1.0 do 3.0.0 używa słabszych niż oczekiwane algorytmów kryptograficznych. Może to umożliwić atakującemu odszyfrowanie wysoce wrażliwych informacji.
- CVE-2026-4413Średnie
IBM Concert w wersjach od 1.0 do 3.0.0 jest podatny na cross-site scripting (XSS). Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzone działanie aplikacji i potencjalnie ujawniając dane uwierzytelniające w zaufanej sesji.
- CVE-2026-4405Średnie
IBM Concert w wersjach od 1.0 do 3.0.0 pozwala na lokalne przechowywanie pamięci podręcznej stron internetowych, która może zostać odczytana przez innego użytkownika systemu.
- CVE-2026-3628Średnie
IBM Concert w wersjach od 1.0 do 3.0.0 umożliwia ujawnienie informacji poprzez ekspozycję sugestii schematu (schema suggestions).
Oryginalny opis (angielski, źródło NVD)
IBM Concert 1.0.0 through 2.0.0 is vulnerable to cross-site scripting. This vulnerability allows an unauthenticated attacker to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS