CVE-2026-105052
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1 i 9.2 może umożliwić zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../), aby wyświetlić dowolne pliki w systemie.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do plików systemowych, co może prowadzić do ujawnienia wrażliwych danych lub dalszych ataków.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez IBM oraz wdrożenie mechanizmów blokowania sekwencji „dot dot” w żądaniach URL.
Inne podatności w IBM Maximo Application Suite
Zobacz wszystkie- CVE-2025-36386Krytyczne
IBM Maximo Application Suite w wersjach 9.0.0–9.0.15 oraz 9.1.0–9.1.4 może pozwolić zdalnemu atakującemu obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp do aplikacji.
- CVE-2026-18533Średnie
IBM Maximo Application Suite - Location Service for Esri Component w wersjach 9.2, 9.1 i 9.0 jest podatny na nieprawidłową walidację danych wejściowych z powodu nieoczyszczonej konfiguracji obrazu kontenera w szablonie operatora Kubernetes.
- CVE-2026-18531Średnie
IBM Maximo Application Suite 9.2, 9.1 i 9.0 może pozwolić zdalnemu atakującemu na manipulowanie danymi sesji z powodu użycia słabego sekretu podpisywania sesji HMAC.
- CVE-2026-15656Średnie
IBM Maximo Application Suite 9.2, 9.1 i 9.0 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając taki link na stronie, którą użytkownik odwiedza. Ciasteczko zostanie wysłane do niezabezpieczonego linku, a atakujący może je przechwycić, podsłuchując ruch.
Oryginalny opis (angielski, źródło NVD)
IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1, and 9.2 could allow a remote attacker to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to view arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS