CVE-2026-15656
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
IBM Maximo Application Suite 9.2, 9.1 i 9.0 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając taki link na stronie, którą użytkownik odwiedza. Ciasteczko zostanie wysłane do niezabezpieczonego linku, a atakujący może je przechwycić, podsłuchując ruch.
Ocena ryzyka
Ciasteczka sesji mogą zostać przechwycone przez atakującego, co może prowadzić do przejęcia sesji i nieautoryzowanego dostępu do aplikacji.
Rekomendacja
Skonfiguruj aplikację tak, aby ustawiała atrybut Secure na ciasteczkach sesji i tokenach autoryzacyjnych, oraz rozważ wymuszenie HTTPS.
Inne podatności w IBM Maximo Application Suite
Zobacz wszystkie- CVE-2025-36386Krytyczne
IBM Maximo Application Suite w wersjach 9.0.0–9.0.15 oraz 9.1.0–9.1.4 może pozwolić zdalnemu atakującemu obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp do aplikacji.
- CVE-2026-18531Średnie
IBM Maximo Application Suite 9.2, 9.1 i 9.0 może pozwolić zdalnemu atakującemu na manipulowanie danymi sesji z powodu użycia słabego sekretu podpisywania sesji HMAC.
Oryginalny opis (angielski, źródło NVD)
IBM Maximo Application Suite 9.2, 9.1, and 9.0 does not set the secure attribute on authorization tokens or session cookies. Attackers may be able to get the cookie values by sending a http:// link to a user or by planting this link in a site the user goes to. The cookie will be sent to the insecure link and the attacker can then obtain the cookie value by snooping the traffic.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS