CVE-2026-16428
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
IBM DataStage w Cloud Pak for Data 5.4.0.0 ma niewłaściwą konfigurację silnika transformacji XSLT. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolny kod.
Ocena ryzyka
Możliwość wykonania dowolnego kodu przez uwierzytelnionego użytkownika może doprowadzić do przejęcia serwera i pełnej kompromitacji środowiska DataStage.
Rekomendacja
Zaleca się niezwłoczne wdrożenie poprawki IBM dla Cloud Pak for Data 5.4.0.0 oraz ograniczenie dostępu do funkcji transformacji XSLT.
Inne podatności w IBM DataStage
Zobacz wszystkie- CVE-2026-81212Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 pozwala nieuwierzytelnionemu użytkownikowi na dowolny zapis do współdzielonego Redis pod kluczem dowolnego tenanta. Narusza to granicę szyfrowania poświadczeń platformy i umożliwia anonimowemu wywołującemu zatrucie parametrów przepływu w pamięci podręcznej dowolnego tenanta.
- CVE-2026-82110Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki (path traversal) z powodu nieprawidłowej walidacji nazw ścieżek. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.
- CVE-2026-82103Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 ujawnia wrażliwe informacje nieupoważnionemu podmiotowi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania poufnych danych.
- CVE-2026-82101Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki, która może prowadzić do odmowy usługi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do zakłócenia działania usługi.
- CVE-2026-81549Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej walidacji nagłówka X-Forwarded-Proto.
- CVE-2026-16346Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniu systemu operacyjnego.
- CVE-2026-16338Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność wynikającą z niewłaściwej walidacji ścieżek plików. Uwierzytelniony zdalny atakujący może w wyniku tego zapisać plik w dowolnej lokalizacji.
- CVE-2026-84418Wysokie
IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić atakującemu typu man-in-the-middle na przedstawienie sfałszowanego certyfikatu TLS, przechwycenie połączenia i zdobycie nagłówka autoryzacyjnego IAM, co daje pełny dostęp do API dzierżawcy.
- CVE-2026-82108Wysokie
IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu systemu operacyjnego.
- CVE-2026-82096Wysokie
IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu systemu operacyjnego.
Oryginalny opis (angielski, źródło NVD)
IBM DataStage on Cloud Pak for Data 5.4.0.0 IBM DataStage could allow a remote authenticated attacker to execute arbitrary code due to improper configuration of the XSLT transformation engine.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS