CVE-2026-16673
WysokieCVSS 8.8Streszczenie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność polegającą na niewłaściwej neutralizacji znaków specjalnych we właściwości nazwy PxPeek. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolne polecenia systemu operacyjnego.
Ocena ryzyka
Atakujący z ważnym kontem może przejąć kontrolę nad serwerem DataStage i wykonać dowolne operacje w systemie operacyjnym, co może prowadzić do pełnego naruszenia środowiska.
Rekomendacja
Należy jak najszybciej zainstalować poprawkę udostępnioną przez IBM dla Cloud Pak for Data 5.4.0.0 oraz ograniczyć dostęp do DataStage wyłącznie do zaufanych użytkowników.
Inne podatności w IBM DataStage
Zobacz wszystkie- CVE-2026-16466Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 jest podatny na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolne polecenia.
- CVE-2026-16432Wysokie
Operator PxXMLInput w IBM DataStage w Cloud Pak for Data 5.4.0.0 jest podatny na wstrzyknięcie zewnętrznej encji XML (XXE). Uwierzytelniony zdalny atakujący może dzięki temu uzyskać dostęp do poufnych informacji.
- CVE-2026-16428Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 ma niewłaściwą konfigurację silnika transformacji XSLT. Uwierzytelniony zdalny atakujący może w wyniku tego wykonać dowolny kod.
- CVE-2026-16335Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność typu path traversal. Uwierzytelniony zdalny atakujący może dzięki temu odczytywać, zapisywać lub usuwać dowolne pliki.
- CVE-2026-16338Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność wynikającą z niewłaściwej walidacji ścieżek plików. Uwierzytelniony zdalny atakujący może w wyniku tego zapisać plik w dowolnej lokalizacji.
- CVE-2026-82099Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej neutralizacji znaków specjalnych używanych w poleceniach systemu operacyjnego.
Oryginalny opis (angielski, źródło NVD)
IBM DataStage on Cloud Pak for Data 5.4.0.0 IBM DataStage could allow a remote authenticated attacker to execute arbitrary OS commands due to improper neutralization of special characters in the PxPeek name property.