CVE-2026-13289

IBM MQ w wersjach 9.3.0.0–9.3.0.41 LTS, 9.3.0.0–9.3.5.1 CD, 9.4.0.0–9.4.0.25 LTS, 9.4.0.0–9.4.5.1 LTS oraz 10.0.0.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niebezpiecznego przetwarzania wyszukiwania JNDI, gdy wdrożona jest aplikacja IVT.

IBM MQ w wersjach LTS i CD zawiera błąd przepełnienia liczb całkowitych, który może zostać wykorzystany przez zdalnego uwierzytelnionego atakującego. W wyniku tego możliwe jest wywołanie odmowy usługi oraz ograniczone uszkodzenie pamięci.

IBM MQ w wersjach 9.2.0.0 do 9.2.0.44 LTS, 9.3.0.0 do 9.3.0.42 LTS, 9.4.0.0 do 9.4.0.26 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 do 10.0.0.5 LTS i CD przechowuje potencjalnie poufne informacje w plikach dziennika, które mogą być odczytane przez lokalnego użytkownika.

IBM MQ w wersjach LTS i CD pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu poprzez wstrzyknięcie złośliwych zmiennych środowiskowych w metadanych żądania transferu. Podatność dotyczy mechanizmu transferu komunikatów.

IBM MQ w wersjach LTS i CD jest podatny na atak XML External Entity (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji lub zużycia zasobów pamięci.

IBM MQ w wersjach 9.2.0.0 do 9.2.0.44 LTS, 9.3.0.0 do 9.3.0.42 LTS, 9.4.0.0 do 9.4.0.26 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 do 10.0.0.5 LTS i CD może umożliwić uwierzytelnionemu atakującemu uzyskanie poufnych informacji lub spowodowanie odmowy usługi z powodu niewłaściwej walidacji parametrów wyboru wiadomości.

IBM MQ w wersjach 9.4.0.0 do 9.4.0.26, 9.4.1.0 do 9.4.5.3 oraz 10.0.0.1 do 10.0.0.5 może umożliwić uwierzytelnionemu atakującemu uzyskanie poufnych informacji lub spowodowanie odmowy usługi z powodu niewłaściwej walidacji pól długości struktury nagłówka wiadomości.

IBM MQ w wersjach LTS i CD pozwala uwierzytelnionemu użytkownikowi z dostępem do kolejki poleceń na wykonanie dowolnego kodu poprzez wstrzyknięcie złośliwych argumentów do poleceń skryptów Ant. Podatność dotyczy przetwarzania poleceń w kolejkach.

IBM MQ w wersjach 9.2.0.0 do 9.2.0.44 LTS, 9.3.0.0 do 9.3.0.42 LTS, 9.4.0.0 do 9.4.0.26 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 do 10.0.0.5 LTS i CD może pozwolić uwierzytelnionemu atakującemu na wykonanie dowolnego kodu na hoście agenta Managed File Transfer z powodu niewłaściwej walidacji metadanych używanych podczas wykonywania skryptów.

IBM MQ w wersjach 9.2.0.0 do 9.2.0.44 LTS, 9.3.0.0 do 9.3.0.42 LTS, 9.4.0.0 do 9.4.0.26 LTS, 9.4.0.0 do 9.4.5.1 CD oraz 10.0.0.0 do 10.0.0.5 LTS i CD może pozwolić uwierzytelnionemu atakującemu na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu z powodu przepełnienia liczb całkowitych podczas przetwarzania żądań subskrypcji ze spreparowanymi wartościami rozmiaru bufora.