CVE-2026-11864
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
IBM Cloud Pak for Business Automation w wersjach 26.0.0 do 26.0.0 Interim Fix 001, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 008 oraz 24.0.0 do 24.0.0 Interim Fix 009 jest podatny na wstrzyknięcie XPath. Uwierzytelniony atakujący może dzięki temu wykraść poufne dane aplikacji i/lub ustalić strukturę dokumentu XML.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych aplikacji oraz poznać strukturę dokumentów XML, co może ułatwić dalsze ataki i naruszyć poufność danych.
Rekomendacja
Zastosuj poprawki IBM dla IBM Cloud Pak for Business Automation (Interim Fix nowszy niż wymienione) oraz zweryfikuj walidację zapytań XPath w aplikacji.
Inne podatności w IBM Cloud Pak for Business Automation
Zobacz wszystkie- CVE-2026-12751Średnie
IBM Cloud Pak for Business Automation jest podatny na wstrzykiwanie HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa hostującej witryny.
- CVE-2026-12750Średnie
IBM Cloud Pak for Business Automation jest podatny na trwałe cross-site scripting (XSS). Ta podatność pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
- CVE-2026-12749Średnie
IBM Cloud Pak for Business Automation jest podatny na trwałe cross-site scripting (XSS). Ta podatność pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
- CVE-2026-12759Średnie
IBM Cloud Pak for Business Automation umożliwia uwierzytelnionemu użytkownikowi spowodowanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.
- CVE-2026-12758Średnie
IBM Cloud Pak for Business Automation umożliwia zdalnemu atakującemu ominięcie autoryzacji i wywołanie ograniczonych punktów końcowych z powodu nieprawidłowej walidacji nagłówków HTTP.
- CVE-2026-12762Średnie
IBM Cloud Pak For Business Automation w wersjach 24.0.0, 24.0.1, 25.0.0 i 26.0.0 może umożliwić zdalnemu atakującemu uzyskanie wrażliwych informacji ujawnionych w plikach manifestu.
Oryginalny opis (angielski, źródło NVD)
IBM Cloud Pak for Business Automation 26.0.0 through 26.0.0 Interim Fix 001, 25.0.0 through 25.0.0 Interim Fix 005, 24.0.1 through 24.0.1 Interim Fix 008, and 24.0.0 through 24.0.0 Interim Fix 009 is vulnerable to an XPath injection vulnerability, which could allow an authenticated attacker to exfiltrate sensitive application data and/or determine the structure of the XML document.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS