CVE-2026-14469
ŚrednieCVSS 5.4Streszczenie
IBM Storage Scale 5.2.3.0–5.2.3.9 i 6.0.1.0 pozwala uwierzytelnionemu atakującemu na dostęp i manipulację zestawami plików poza jego kontrolą z powodu niewłaściwej autoryzacji.
Ocena ryzyka
Atakujący z ważnym kontem może modyfikować lub uzyskiwać dostęp do danych, do których nie powinien mieć uprawnień, naruszając poufność i integralność.
Rekomendacja
Zaktualizuj IBM Storage Scale do wersji z poprawką i zweryfikuj uprawnienia dostępu do zestawów plików.
Inne podatności w IBM Storage Scale
Zobacz wszystkie- CVE-2026-76052Średnie
IBM Storage Scale System oraz IBM Storage Scale w wymienionych wersjach pozwalają atakującemu wykorzystać nieudokumentowaną flagę do uzyskania dostępu do nieuwierzytelnionej ścieżki w interfejsie REST API.
- CVE-2026-14437Średnie
IBM Storage Scale 5.2.3.0–5.2.3.9 i 6.0.1.0 pozwala zdalnemu atakującemu na przechodzenie po katalogach systemu poprzez wysłanie specjalnie spreparowanego żądania URL zawierającego sekwencje "dot dot" (/../) w celu przeglądania dowolnych plików.
- CVE-2026-14375Średnie
IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.1.0 nie waliduje lub nieprawidłowo waliduje certyfikaty TLS podczas komunikacji ze zdalnymi interfejsami GUI klastra. Może to pozwolić atakującemu na wstrzyknięcie sfałszowanych odpowiedzi JSON za pomocą technik man-in-the-middle.
- CVE-2026-19483Wysokie
IBM Storage Scale w wersjach 5.2.3.0-5.2.3.8 oraz 6.0.0.0-6.0.1.0 zawiera podatność, w której sekrety mogą być ujawniane w plikach dziennika w GUI zarządzania. Hasło administratora jest zapisywane w dzienniku GUI podczas wdrażania i aktualizacji systemu z GUI. Ponadto sekrety mogą być ujawniane w informacjach o wyjątkach w GUI zarządzania.
- CVE-2026-13460Wysokie
IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.0.0 do 6.0.1.0 zawiera w kodzie źródłowym GUI zakodowany na stałe token, używany do komunikacji między węzłami klastra oraz do uwierzytelniania API REST między interfejsami GUI.
Oryginalny opis (angielski, źródło NVD)
IBM Storage Scale 5.2.3.0 through 5.2.3.9 and 6.0.1.0 could allow an authenticated attacker to access and manipulate filesets beyond their control due to improper authorization.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS