CVE-2026-12730
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych 26.0.0, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 007 oraz 24.0.0 do 24.0.0 Interim Fix 009 nie weryfikuje poprawnie, czy nazwa hosta pasuje do certyfikatu serwera, co potencjalnie pozwala na połączenia z serwerem kontrolowanym przez atakującego.
Ocena ryzyka
Atakujący może przeprowadzić atak typu man-in-the-middle, przechwytując lub modyfikując komunikację, co może prowadzić do ujawnienia poufnych danych lub naruszenia integralności.
Rekomendacja
Zaleca się aktualizację IBM Business Automation Workflow do wersji zawierającej poprawkę, jeśli dostępna. Należy również skonfigurować weryfikację certyfikatów i nazw hostów.
Oryginalny opis (angielski, źródło NVD)
IBM Business Automation Workflow containers and traditional 26.0.0, 25.0.0 through 25.0.0 Interim Fix 005, 24.0.1 through 24.0.1 Interim Fix 007, and 24.0.0 through 24.0.0 Interim Fix 009 IBM Business Automation Workflow fails to properly verify that the hostname matches the server certificate potentially allowing connections to an attacker-controlled server.