CVE-2026-14958
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez niecytowaną interpolację powłoki.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co prowadzi do pełnej kompromitacji.
Rekomendacja
Zaktualizuj IBM Aspera Faspex 5 do wersji 5.0.15.5 lub nowszej.
Inne podatności w IBM Aspera Faspex
Zobacz wszystkie- CVE-2026-14959Krytyczne
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń powłoki.
- CVE-2022-47986KrytyczneAktywnie exploitowane
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
- CVE-2026-14996Wysokie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.15.4 zawiera lukę związaną z zarządzaniem sesjami.
- CVE-2025-36230Średnie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 jest podatny na wstrzyknięcie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny hostującej.
- CVE-2025-36229Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 pozwala uwierzytelnionym użytkownikom na enumerację identyfikatorów pakietów, co umożliwia uzyskanie informacji o danych. Luka dotyczy wycieku informacji wrażliwych poprzez odgadywanie identyfikatorów.
- CVE-2025-36228Niskie
IBM Aspera Faspex 5 w wersjach od 5.0.0 do 5.0.14.1 może mieć niespójne uprawnienia między interfejsem użytkownika a backendowym API, co pozwala użytkownikom na dostęp do funkcji, które wydawały się wyłączone. Może to prowadzić do niewłaściwego użycia.
- CVE-2025-36171Średnie
IBM Aspera Faspex w wersjach od 5.0.0 do 5.0.13.1 może pozwolić uprzywilejowanemu użytkownikowi na wywołanie odmowy usługi (DoS) poprzez nieprawidłowo zwalidowane dane wejściowe API, prowadzące do nadmiernego zużycia zasobów.
Oryginalny opis (angielski, źródło NVD)
IBM Aspera Faspex 5 5.0.0 through 5.0.15.4 could allow a remote authenticated attacker to execute arbitrary code due to unquoted shell interpolation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS