CVE-2026-17244
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 nie weryfikuje uprawnień do wykonywania operacji na docelowych zasobach. Uwierzytelniony zdalny atakujący może wykonywać nieautoryzowane działania i uzyskiwać poufne informacje, w tym usuwać klucze API innych użytkowników.
Ocena ryzyka
Brak autoryzacji pozwala atakującemu na modyfikację lub usuwanie zasobów innych użytkowników, co może zakłócić działanie integracji i naruszyć poufność.
Rekomendacja
Zaktualizuj IBM API Connect do wersji z poprawką i zweryfikuj mechanizmy autoryzacji operacji na zasobach.
Inne podatności w IBM API Connect
Zobacz wszystkie- CVE-2017-1322Wysokie
IBM API Connect w wersji 5.0.6.0 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2017-1379Wysokie
IBM API Connect w wersji 5.0.0.0 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu niewłaściwego przetwarzania żądań do Portalu Dewelopera.
- CVE-2017-1161Wysokie
IBM API Connect w wersji 5.0.6.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń na systemie, z powodu niewłaściwej walidacji adresów URL w Portalu Dewelopera. Atakujący może wykorzystać tę podatność, tworząc złośliwy adres URL.
- CVE-2026-18838Krytyczne
IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewystarczającą weryfikację tożsamości przekazywanej w żądaniach. Zdalny atakujący może podszyć się pod innego użytkownika, uzyskać dostęp do poufnych informacji i modyfikować konfiguracje API.
- CVE-2026-18836Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na server-side request forgery (SSRF). Podatny komponent może być zmuszony do wysyłania żądań do niezamierzonych miejsc i zwracania odpowiedzi atakującemu.
- CVE-2026-18535Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na atak Regular Expression Denial of Service (ReDoS) oraz na niewłaściwą neutralizację operatorów zapytań z symbolami wieloznacznymi.
- CVE-2026-17410Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację separatorów argumentów. Zdalny uwierzytelniony atakujący może uzyskać dostęp do danych portalu innych dzierżawców i je modyfikować.
- CVE-2026-17409Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą obsługę wielkości liter w żądaniach. Kontrole dostępu nie są stosowane spójnie do wszystkich wariantów żądania, co może umożliwić zdalnemu atakującemu wykonanie nieautoryzowanych operacji administracyjnych i uzyskanie poufnych informacji.
- CVE-2026-17408Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację specjalnych elementów w poleceniach systemu operacyjnego. Zdalny atakujący może wykonać dowolny kod.
- CVE-2026-17403Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 używa zaszytych na stałe poświadczeń. Zdalny atakujący może uzyskać pełną kontrolę administracyjną nad systemem.
Oryginalny opis (angielski, źródło NVD)
IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to perform unauthorized actions and obtain sensitive information due to missing authorization. Certain operations do not verify that the user is permitted to act on the targeted resource, which could allow other users' API keys to be deleted.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS