CVE-2026-11936
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Lokalny interfejs zarządzania IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 w niektórych konfiguracjach jest podatny na cross-site scripting (XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając jego działanie i potencjalnie ujawniając poświadczenia w zaufanej sesji.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży danych sesyjnych lub poświadczeń i naruszenia bezpieczeństwa kont administracyjnych.
Rekomendacja
Zaktualizuj oprogramowanie do wersji z poprawką XSS oraz wdroż nagłówki bezpieczeństwa (CSP) i walidację danych wejściowych w interfejsie webowym.
Inne podatności w IBM Security Verify Access
Zobacz wszystkie- CVE-2026-78406Krytyczne
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 są podatne na zdalne wykonanie kodu przez nieuwierzytelnionego atakującego z powodu deserializacji niezaufanych danych.
- CVE-2026-78401Krytyczne
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 są podatne na zdalne wykonanie kodu przez nieuwierzytelnionego atakującego z powodu deserializacji niezaufanych danych.
- CVE-2026-19491Krytyczne
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 umożliwiają zdalnemu atakującemu obejście uwierzytelnienia z powodu nieprawidłowego procesu uwierzytelniania.
- CVE-2026-16916Krytyczne
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 umożliwiają zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu z powodu awarii mechanizmu ochronnego.
- CVE-2026-16823Krytyczne
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 umożliwiają zdalnemu atakującemu obejście ograniczeń bezpieczeństwa z powodu nieprawidłowego uwierzytelniania.
- CVE-2026-78407Średnie
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 są podatne na cross-site scripting. Ta podatność pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie Web UI, co zmienia zamierzoną funkcjonalność i może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
- CVE-2026-78399Średnie
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 mogą pozwolić uwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi za pomocą specjalnie spreparowanego zapytania HTTP z powodu nieprawidłowej alokacji zasobów systemowych.
- CVE-2026-78388Średnie
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 są podatne na cross-site request forgery, co może pozwolić atakującemu na wykonanie złośliwych i nieautoryzowanych działań transmitowanych od użytkownika, któremu witryna ufa.
- CVE-2026-19878Średnie
IBM Security Verify Access 10.0 do 10.0.9.2 oraz IBM Verify Identity Access 11.0 do 11.0.3 mogą pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie dodatkowych kroków przepływu uwierzytelniania.
- CVE-2026-19498Średnie
IBM Security Verify Access w wersjach 10.0 do 10.0.9.2 oraz IBM Verify Identity Access w wersjach 11.0 do 11.0.3 są podatne na atak zdalny powodujący odmowę usługi (DoS) z powodu niekontrolowanej rekurencji.
Oryginalny opis (angielski, źródło NVD)
IBM Security Verify Access 10.0 through 10.0.9.2 and IBM Verify Identity Access 11.0 through 11.0.3 local management interface in certain configurations is vulnerable to cross-site scripting. This vulnerability allows an authenticated user to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS