CVE-2026-13265
ŚrednieCVSS 6.8Streszczenie
IBM MQ w wersjach 9.1.0.0 do 9.1.0.37 LTS, 9.2.0.0 do 9.2.0.43 LTS, 9.3.0.0 do 9.3.0.41 LTS, 9.3.0.0 do 9.3.5.1 CD, 9.4.0.0 do 9.4.0.25 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 może pozwolić uwierzytelnionemu atakującemu z uprawnieniami publikowania MFT na uzyskanie poufnych informacji lub spowodowanie odmowy usługi w wyniku wstrzyknięcia zewnętrznych encji XML w interfejsie mqweb MFT REST API.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami publikowania MFT może uzyskać dostęp do poufnych informacji lub spowodować odmowę usługi, co może prowadzić do wycieku danych i zakłócenia działania systemu. Stanowi to zagrożenie dla poufności i dostępności.
Rekomendacja
Zaktualizuj IBM MQ do wersji zawierającej poprawkę dla tego problemu. Do czasu aktualizacji ogranicz uprawnienia publikowania MFT i monitoruj nietypowe żądania do mqweb MFT REST API.
Inne podatności w IBM MQ
Zobacz wszystkie- CVE-2026-13293Wysokie
IBM MQ w wersjach LTS i CD do 10.0.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na systemie z powodu deserializacji niezaufanych danych.
- CVE-2026-13287Wysokie
IBM MQ w wersjach LTS i CD do 10.0.0.0 jest podatny na atak XML External Entity (XXE) podczas przetwarzania danych XML, co może ujawnić wrażliwe informacje lub zużyć zasoby pamięci.
- CVE-2026-13285Wysokie
IBM MQ w wersjach LTS i CD do 10.0.0.0 jest podatny na atak XML External Entity (XXE) podczas przetwarzania danych XML, co może ujawnić wrażliwe informacje lub zużyć zasoby pamięci.
- CVE-2026-13275Wysokie
IBM MQ Managed File Transfer w wersjach LTS i CD do 10.0.0.0 umożliwia uwierzytelnionemu atakującemu odczyt dowolnych plików lub przeprowadzenie ataku SSRF z powodu wstrzyknięcia zewnętrznych encji XML w przetwarzaniu wiadomości odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
IBM MQ 9.1.0.0 through 9.1.0.37 LTS, 9.2.0.0 through 9.2.0.43 LTS, 9.3.0.0 through 9.3.0.41 LTS, 9.3.0.0 through 9.3.5.1 CD, 9.4.0.0 through 9.4.0.25 LTS, 9.4.0.0 through 9.4.5.1 CD, and 10.0.0.0 could allow an authenticated attacker with MFT publish authority to obtain sensitive information or cause a denial of service due to XML external entity injection in the mqweb MFT REST API.