CVE-2025-36374
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
IBM DataPower Gateway jest podatny na atak XML External Entity Injection (XXE) podczas przetwarzania danych XML. Uprzywilejowany użytkownik może ujawnić wrażliwe informacje lub zużywać zasoby pamięci.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych lub spowodować wyczerpanie pamięci, co prowadzi do zakłócenia działania bramy.
Rekomendacja
Zaleca się aktualizację DataPower Gateway do wersji, w której poprawiono obsługę XML oraz wyłączenie przetwarzania zewnętrznych encji XML.
Inne podatności w IBM DataPower Gateway
Zobacz wszystkie- CVE-2026-7366Średnie
IBM DataPower Gateway w wersjach 11.0.0.0-11.0.0.1, 10.5.0.0-10.5.0.21 i 10.6.0.0-10.6.0.9 ma problem z wyścigiem, który powoduje nieprawidłową izolację stanu żądań podczas obsługi wbudowanego nagłówka X-Client-IP. Przy równoczesnym przetwarzaniu żądań wartości X-Client-IP mogą być mieszane między żądaniami, co umożliwia fałszowanie adresu IP i ujawnianie adresów IP innych klientów.
- CVE-2026-12733Wysokie
IBM DataPower Gateway zawiera podatność na odmowę usługi (DoS) spowodowaną niewłaściwym zarządzaniem ograniczeniami zasobów. Zdalny atakujący może wykorzystać ten błąd, aby przeciążyć system i uniemożliwić jego normalne działanie.
Oryginalny opis (angielski, źródło NVD)
IBM DataPower Gateway is vulnerable to an XML external entity injection (XXE) attack when processing XML data. A privileged user could exploit this vulnerability to expose sensitive information or consume memory resources.