CVE-2026-16338
KrytyczneCVSS 9.9Streszczenie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność wynikającą z niewłaściwej walidacji ścieżek plików. Uwierzytelniony zdalny atakujący może w wyniku tego zapisać plik w dowolnej lokalizacji.
Ocena ryzyka
Atakujący z ważnym kontem może nadpisać lub utworzyć dowolne pliki na serwerze, co grozi wykonaniem kodu lub utratą integralności danych.
Rekomendacja
Zaktualizuj IBM DataStage do wersji zawierającej poprawkę oraz ogranicz uprawnienia kont usługowych i zweryfikuj poprawność walidacji ścieżek.
Inne podatności w IBM DataStage
Zobacz wszystkie- CVE-2026-16673Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność polegającą na niewłaściwej neutralizacji znaków specjalnych we właściwości nazwy PxPeek. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolne polecenia systemu operacyjnego.
- CVE-2026-16466Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 jest podatny na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolne polecenia.
- CVE-2026-16432Wysokie
Operator PxXMLInput w IBM DataStage w Cloud Pak for Data 5.4.0.0 jest podatny na wstrzyknięcie zewnętrznej encji XML (XXE). Uwierzytelniony zdalny atakujący może dzięki temu uzyskać dostęp do poufnych informacji.
- CVE-2026-16428Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 ma niewłaściwą konfigurację silnika transformacji XSLT. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolny kod.
- CVE-2026-16335Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność typu path traversal. Uwierzytelniony zdalny atakujący może dzięki temu odczytywać, zapisywać lub usuwać dowolne pliki.
- CVE-2026-82099Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej neutralizacji znaków specjalnych używanych w poleceniach systemu operacyjnego.
Oryginalny opis (angielski, źródło NVD)
IBM DataStage on Cloud Pak for Data 5.4.0.0 IBM DataStage could allow a remote authenticated attacker to perform an arbitrary file write due to improper validation of file paths.