CVE-2026-15435
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
IBM App Connect Enterprise w wersjach 13.0.1.0 do 13.0.7.2 oraz 12.0.1.0 do 12.0.12.27 jest podatny na zdalne przeszukiwanie katalogów. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „/../” w celu zapisu dowolnych plików w systemie.
Ocena ryzyka
Atakujący może zapisywać dowolne pliki w systemie, co może prowadzić do wykonania złośliwego kodu, modyfikacji konfiguracji lub wycieku danych.
Rekomendacja
Zaleca się aktualizację do wersji 13.0.7.3 lub 12.0.12.28 (lub nowszej), która zawiera poprawkę eliminującą podatność.
Inne podatności w IBM App Connect Enterprise
Zobacz wszystkie- CVE-2026-17416Wysokie
IBM App Connect Enterprise w wersjach 13.0.1.0–13.0.8.0 oraz 12.0.1.0–12.0.12.27 może umożliwić lokalnemu atakującemu wykonanie dowolnego kodu z powodu niezabezpieczonej deserializacji.
- CVE-2026-17156Wysokie
IBM App Connect Enterprise w wersjach 13.0.1.0–13.0.8.0 oraz 12.0.1.0–12.0.12.27 może umożliwić lokalnemu atakującemu wykonanie dowolnego kodu z powodu niezabezpieczonej deserializacji.
- CVE-2026-17133Wysokie
IBM App Connect Enterprise w wersjach 13.0.1.0–13.0.8.0 oraz 12.0.1.0–12.0.12.27 może umożliwić lokalnemu atakującemu wykonanie dowolnego kodu z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego (wstrzyknięcie polecenia OS).
- CVE-2026-75624Wysokie
IBM App Connect Enterprise w wersjach 13.0.1.0 do 13.0.8.1 oraz 12.0.1.0 do 12.0.12.27 pozwala zdalnemu uwierzytelnionemu atakującemu obejść ograniczenia bezpieczeństwa z powodu nieprawidłowej autoryzacji.
- CVE-2026-17444Średnie
IBM App Connect Enterprise w wersjach 13.0.1.0-13.0.8.1 i 12.0.1.0-12.0.12.28 oraz IBM Integration Bus for z/OS w wersjach 10.1.0.0-10.1.0.7 zawierają podatność na wstrzyknięcie XML External Entity (XXE). Zdalny uwierzytelniony atakujący może uzyskać wrażliwe informacje.
- CVE-2026-17443Średnie
IBM App Connect Enterprise w wersjach 13.0.1.0-13.0.8.1 i 12.0.1.0-12.0.12.28 oraz IBM Integration Bus for z/OS w wersjach 10.1.0.0-10.1.0.7 zawierają podatność na wstrzyknięcie XML External Entity (XXE). Zdalny uwierzytelniony atakujący może uzyskać wrażliwe informacje.
- CVE-2026-17442Średnie
IBM App Connect Enterprise oraz IBM Integration Bus dla z/OS zapisują poświadczenia w postaci jawnego tekstu w dziennikach śledzenia. Lokalny atakujący może uzyskać dostęp do tych poufnych informacji.
- CVE-2026-17440Średnie
IBM App Connect Enterprise oraz IBM Integration Bus dla z/OS są podatne na niekontrolowaną rekurencję, co może prowadzić do odmowy usługi. Lokalny atakujący może wykorzystać tę podatność.
- CVE-2026-16689Średnie
IBM App Connect Enterprise w wersjach 13.0.1.0-13.0.8.1 i 12.0.1.0-12.0.12.28 oraz IBM Integration Bus for z/OS w wersjach 10.1.0.0-10.1.0.7 mogą pozwolić lokalnemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowego logowania poświadczeń.
- CVE-2026-16180Średnie
IBM App Connect Enterprise w wersjach 13.0.1.0-13.0.8.1 i 12.0.1.0-12.0.12.28 oraz IBM Integration Bus for z/OS w wersjach 10.1.0.0-10.1.0.7 Toolkit mogą pozwolić uwierzytelnionemu użytkownikowi na spowodowanie stanu odmowy usługi z powodu nieprawidłowej walidacji encji XML.
Oryginalny opis (angielski, źródło NVD)
IBM App Connect Enterprise 13.0.1.0 through 13.0.7.2, and 12.0.1.0 through 12.0.12.27 could allow a remote attacker to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to write arbitrary files on the system.