CVE-2026-15915
ŚrednieCVSS 6.2Streszczenie
IBM Concert wykonuje rekurencyjne kopiowanie katalogów kontekstu budowania do obrazów kontenerów. Lokalny atakujący może w rezultacie uzyskać dostęp do poufnych informacji.
Ocena ryzyka
Nieumyślne kopiowanie katalogów kontekstu budowania do obrazów może doprowadzić do wycieku wrażliwych plików, w tym poświadczeń i kluczy, poza środowisko budowania.
Rekomendacja
Zaktualizuj IBM Concert do wersji z poprawką oraz ogranicz kontekst budowania i stosuj pliki .dockerignore, aby wykluczyć wrażliwe dane z obrazów.
Inne podatności w IBM Concert
Zobacz wszystkie- CVE-2026-17465Średnie
IBM Concert nie wymusza prawidłowo limitów przechowywania danych. Uwierzytelniony zdalny atakujący może w rezultacie doprowadzić do odmowy usługi (denial of service).
- CVE-2026-16426Średnie
IBM Concert jest podatny na atak typu server-side request forgery (SSRF). Uwierzytelniony atakujący może w rezultacie wysyłać nieautoryzowane żądania z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.
- CVE-2025-36084Średnie
IBM Concert używa słabszych niż oczekiwane algorytmów kryptograficznych. Atakujący może w rezultacie odszyfrować wysoce poufne informacje.
- CVE-2025-12767Średnie
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez specjalnie spreparowane wyrażenie regularne, które prowadzi do nadmiernego zużycia zasobów.
- CVE-2025-33015Wysokie
IBM Concert w wersjach od 1.0.0 do 2.1.0 jest podatny na złośliwe przesyłanie plików, ponieważ nie weryfikuje zawartości plików przesyłanych do interfejsu webowego. Atakujący może wykorzystać tę lukę do przesłania szkodliwych plików.
- CVE-2026-17472Krytyczne
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu dostęp do nieautoryzowanych zasobów lub ich modyfikację z powodu użycia symboli wieloznacznych w definicjach uprawnień RBAC.
- CVE-2026-3627Krytyczne
IBM Concert w wersjach od 1.0.0 do 2.3.1 jest podatny na atak SQL injection. Zdalny atakujący może wysłać specjalnie spreparowane zapytania SQL, co może pozwolić mu na przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.
- CVE-2025-64649Średnie
IBM Concert w wersjach od 1.0.0 do 2.3.1 może pozwolić zdalnemu atakującemu na wykonanie nieautoryzowanych działań przy użyciu technik man-in-the-middle z powodu nieprawidłowej walidacji certyfikatów.
- CVE-2025-13044Średnie
IBM Concert w wersjach od 1.0.0 do 2.2.0 tworzy tymczasowe pliki z przewidywalnymi nazwami. Lokalny użytkownik może wykorzystać atak symlink do nadpisania dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
IBM Concert 1.0.0 through 3.0.0 could allow a local attacker to obtain sensitive information due to recursive copying of build context directories into container images.