CVE-2026-16426
ŚrednieCVSS 6.5Streszczenie
IBM Concert jest podatny na atak typu server-side request forgery (SSRF). Uwierzytelniony atakujący może w rezultacie wysyłać nieautoryzowane żądania z systemu, co potencjalnie prowadzi do enumeracji sieci lub ułatwia inne ataki.
Ocena ryzyka
Podatność SSRF może pozwolić atakującemu na sondowanie sieci wewnętrznej i dostęp do usług niedostępnych z zewnątrz, co zwiększa powierzchnię ataku.
Rekomendacja
Zaktualizuj IBM Concert do wersji z poprawką oraz ogranicz możliwość wykonywania wychodzących żądań sieciowych i wdróż walidację adresów URL.
Inne podatności w IBM Concert
Zobacz wszystkie- CVE-2026-17465Średnie
IBM Concert nie wymusza prawidłowo limitów przechowywania danych. Uwierzytelniony zdalny atakujący może w rezultacie doprowadzić do odmowy usługi (denial of service).
- CVE-2026-15915Średnie
IBM Concert wykonuje rekurencyjne kopiowanie katalogów kontekstu budowania do obrazów kontenerów. Lokalny atakujący może w rezultacie uzyskać dostęp do poufnych informacji.
- CVE-2025-36084Średnie
IBM Concert używa słabszych niż oczekiwane algorytmów kryptograficznych. Atakujący może w rezultacie odszyfrować wysoce poufne informacje.
- CVE-2025-12767Średnie
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez specjalnie spreparowane wyrażenie regularne, które prowadzi do nadmiernego zużycia zasobów.
- CVE-2025-33015Wysokie
IBM Concert w wersjach od 1.0.0 do 2.1.0 jest podatny na złośliwe przesyłanie plików, ponieważ nie weryfikuje zawartości plików przesyłanych do interfejsu webowego. Atakujący może wykorzystać tę lukę do przesłania szkodliwych plików.
- CVE-2026-17472Krytyczne
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu dostęp do nieautoryzowanych zasobów lub ich modyfikację z powodu użycia symboli wieloznacznych w definicjach uprawnień RBAC.
- CVE-2026-3627Krytyczne
IBM Concert w wersjach od 1.0.0 do 2.3.1 jest podatny na atak SQL injection. Zdalny atakujący może wysłać specjalnie spreparowane zapytania SQL, co może pozwolić mu na przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.
- CVE-2025-64649Średnie
IBM Concert w wersjach od 1.0.0 do 2.3.1 może pozwolić zdalnemu atakującemu na wykonanie nieautoryzowanych działań przy użyciu technik man-in-the-middle z powodu nieprawidłowej walidacji certyfikatów.
- CVE-2025-13044Średnie
IBM Concert w wersjach od 1.0.0 do 2.2.0 tworzy tymczasowe pliki z przewidywalnymi nazwami. Lokalny użytkownik może wykorzystać atak symlink do nadpisania dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
IBM Concert 1.0.0 through 3.0.0 is vulnerable to server-side request forgery (SSRF). This may allow an authenticated attacker to send unauthorized requests from the system, potentially leading to network enumeration or facilitating other attacks.