CVE-2026-12084
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
IBM DevOps Deploy (UCD) w wersjach 8.1 do 8.1.2.6 oraz 8.2 do 8.2.1.0 nieprawidłowo konfiguruje mechanizm CORS, co pozwala atakującemu na wykonywanie uprzywilejowanych działań i odczyt wrażliwych informacji, ponieważ domena nie jest ograniczona do zaufanych domen.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu cross-origin, który może prowadzić do kradzieży danych uwierzytelniających, sesji lub innych poufnych informacji, a także do nieautoryzowanych operacji w systemie.
Rekomendacja
Zaleca się natychmiastową aktualizację IBM DevOps Deploy do wersji 8.1.2.7 lub nowszej (dla gałęzi 8.1) oraz 8.2.1.1 lub nowszej (dla gałęzi 8.2), a także skonfigurowanie listy dozwolonych domen w nagłówkach CORS.
Inne podatności w IBM DevOps Deploy
Zobacz wszystkie- CVE-2026-12085Średnie
IBM UrbanCode Deploy i IBM DevOps Deploy w podatnych wersjach mogą ujawniać wrażliwe konfiguracje i sekrety uwierzytelnionym użytkownikom w odpowiedziach API, co może być wykorzystane w dalszych atakach na system.
- CVE-2025-14148Średnie
IBM UCD - IBM DevOps Deploy w wersjach od 8.1 do 8.1.2.3 może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami do konfiguracji integracji LLM na odzyskanie wcześniej zapisanego tokena API LLM.
- CVE-2025-13489Średnie
IBM DevOps Deploy w wersjach 8.1 do 8.1.2.3 przesyła dane w postaci jawnej, co może pozwolić atakującemu na uzyskanie poufnych informacji za pomocą technik man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
IBM UCD - IBM DevOps Deploy 8.1 through 8.1.2.6, and 8.2 through 8.2.1.0 uses Cross-Origin Resource Sharing (CORS) which could allow an attacker to carry out privileged actions and retrieve sensitive information as the domain name is not being limited to only trusted domains.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS