CVE-2025-36159
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
IBM Concert w wersjach 1.0.0 do 2.0.0 pozwala lokalnemu użytkownikowi na fałszowanie plików logów w celu podszycia się pod innych użytkowników lub ukrycia własnej tożsamości. Przyczyną jest nieprawidłowa neutralizacja danych wyjściowych.
Ocena ryzyka
Fałszowanie logów może utrudnić wykrycie incydentów bezpieczeństwa i przypisanie działań niewłaściwym osobom. Organizacja może utracić wiarygodność śladów audytowych.
Rekomendacja
Zaktualizuj IBM Concert do wersji nowszej niż 2.0.0, jeśli jest dostępna, oraz ogranicz lokalny dostęp do systemu. Wzmocnij kontrolę integralności logów.
Inne podatności w IBM Concert
Zobacz wszystkie- CVE-2025-33015Wysokie
IBM Concert w wersjach od 1.0.0 do 2.1.0 jest podatny na złośliwe przesyłanie plików, ponieważ nie weryfikuje zawartości plików przesyłanych do interfejsu webowego. Atakujący może wykorzystać tę lukę do przesłania szkodliwych plików.
- CVE-2026-6928Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 odwołuje się do zwolnionej pamięci lub uzyskuje do niej dostęp (use-after-free). Atakujący mogący wpłynąć na wykonanie programu lub dane wejściowe może wykorzystać tę lukę do uszkodzenia pamięci, awarii aplikacji lub wykonania dowolnego kodu.
- CVE-2026-6730Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 jest podatny na przepełnienie bufora spowodowane niewłaściwym sprawdzaniem granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod w systemie.
- CVE-2026-6721Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu na dostarczenie specjalnie spreparowanych danych wejściowych, które są włączane do poleceń systemu operacyjnego, co prowadzi do wykonania dowolnych poleceń. Udana eksploatacja umożliwia zdalne wykonanie kodu z uprawnieniami aplikacji.
- CVE-2026-17472Krytyczne
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu dostęp do nieautoryzowanych zasobów lub ich modyfikację z powodu użycia symboli wieloznacznych w definicjach uprawnień RBAC.
- CVE-2026-3627Krytyczne
IBM Concert w wersjach od 1.0.0 do 2.3.1 jest podatny na atak SQL injection. Zdalny atakujący może wysłać specjalnie spreparowane zapytania SQL, co może pozwolić mu na przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.
- CVE-2026-6719Wysokie
IBM Concert w wersjach od 1.0 do 3.0.0 używa słabszych niż oczekiwane algorytmów kryptograficznych. Może to umożliwić atakującemu odszyfrowanie wysoce wrażliwych informacji.
- CVE-2026-4413Średnie
IBM Concert w wersjach od 1.0 do 3.0.0 jest podatny na cross-site scripting (XSS). Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzone działanie aplikacji i potencjalnie ujawniając dane uwierzytelniające w zaufanej sesji.
- CVE-2026-4405Średnie
IBM Concert w wersjach od 1.0 do 3.0.0 pozwala na lokalne przechowywanie pamięci podręcznej stron internetowych, która może zostać odczytana przez innego użytkownika systemu.
- CVE-2026-3628Średnie
IBM Concert w wersjach od 1.0 do 3.0.0 umożliwia ujawnienie informacji poprzez ekspozycję sugestii schematu (schema suggestions).
Oryginalny opis (angielski, źródło NVD)
IBM Concert 1.0.0 through 2.0.0 could allow a local user to forge log files to impersonate other users or hide their identity due to improper neutralization of output.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS