CVE-2026-17358
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 zawiera błąd nieprawidłowego uwierzytelniania. Kontrole uwierzytelniania nie są wystarczająco odizolowane między tenantami, co może pozwolić użytkownikowi jednego tenanta na uzyskanie akceptacji przez inny.
Ocena ryzyka
Atakujący może obejść uwierzytelnianie między tenantami i uzyskać dostęp do zasobów innych organizacji, co grozi naruszeniem izolacji danych.
Rekomendacja
Zaktualizuj IBM API Connect do wersji z poprawką i zweryfikuj izolację uwierzytelniania między tenantami.
Inne podatności w IBM API Connect
Zobacz wszystkie- CVE-2017-1322Wysokie
IBM API Connect w wersji 5.0.6.0 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2017-1379Wysokie
IBM API Connect w wersji 5.0.0.0 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu niewłaściwego przetwarzania żądań do Portalu Dewelopera.
- CVE-2017-1161Wysokie
IBM API Connect w wersji 5.0.6.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń na systemie, z powodu niewłaściwej walidacji adresów URL w Portalu Dewelopera. Atakujący może wykorzystać tę podatność, tworząc złośliwy adres URL.
- CVE-2026-18838Krytyczne
IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewystarczającą weryfikację tożsamości przekazywanej w żądaniach. Zdalny atakujący może podszyć się pod innego użytkownika, uzyskać dostęp do poufnych informacji i modyfikować konfiguracje API.
- CVE-2026-18836Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na server-side request forgery (SSRF). Podatny komponent może być zmuszony do wysyłania żądań do niezamierzonych miejsc i zwracania odpowiedzi atakującemu.
- CVE-2026-18535Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na atak Regular Expression Denial of Service (ReDoS) oraz na niewłaściwą neutralizację operatorów zapytań z symbolami wieloznacznymi.
- CVE-2026-17410Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację separatorów argumentów. Zdalny uwierzytelniony atakujący może uzyskać dostęp do danych portalu innych dzierżawców i je modyfikować.
- CVE-2026-17409Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą obsługę wielkości liter w żądaniach. Kontrole dostępu nie są stosowane spójnie do wszystkich wariantów żądania, co może umożliwić zdalnemu atakującemu wykonanie nieautoryzowanych operacji administracyjnych i uzyskanie poufnych informacji.
- CVE-2026-17408Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację specjalnych elementów w poleceniach systemu operacyjnego. Zdalny atakujący może wykonać dowolny kod.
- CVE-2026-17403Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 używa zaszytych na stałe poświadczeń. Zdalny atakujący może uzyskać pełną kontrolę administracyjną nad systemem.
Oryginalny opis (angielski, źródło NVD)
IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to bypass authentication across tenants due to improper authentication. Authentication checks are not sufficiently isolated between tenants, which could allow a user from one tenant to be accepted by another.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS