CVE-2026-12742
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
IBM Business Automation Workflow (kontenery i instalacja tradycyjna) zawiera brak kontroli autoryzacji, który pozwala uwierzytelnionemu atakującemu wywołać zastrzeżone akcje importu. Luka wynika z nieodpowiedniego egzekwowania uprawnień przy operacjach importu.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może wykonać operacje importu, do których nie powinien mieć dostępu, co może prowadzić do nieautoryzowanej modyfikacji danych lub konfiguracji systemu.
Rekomendacja
Należy jak najszybciej zastosować dostępne poprawki IBM dla IBM Business Automation Workflow oraz zweryfikować i zaostrzyć kontrolę uprawnień do akcji importu.
Inne podatności w IBM Business Automation Workflow
Zobacz wszystkie- CVE-2026-12752Wysokie
IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę lukę do ujawnienia poufnych informacji lub zużycia zasobów pamięci.
- CVE-2026-12756Wysokie
IBM Business Automation Workflow (kontenery i wersja tradycyjna) jest podatny na atak XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji lub zużycia zasobów pamięci.
- CVE-2026-13107Wysokie
IBM Business Automation Workflow (kontenery i wersja tradycyjna) może domyślnie używać artefaktów modelu programowania podatnych na ataki XML Entity Injection.
- CVE-2026-12730Niskie
IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych 26.0.0, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 007 oraz 24.0.0 do 24.0.0 Interim Fix 009 nie weryfikuje poprawnie, czy nazwa hosta pasuje do certyfikatu serwera, co potencjalnie pozwala na połączenia z serwerem kontrolowanym przez atakującego.
Oryginalny opis (angielski, źródło NVD)
IBM Business Automation Workflow containers and traditional could allow an authenticated attacker to trigger restricted import actions due to missing authorization controls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS