CVE-2026-17394
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność w IBM API Connect pozwala uwierzytelnionemu zdalnemu atakującemu na uzyskanie dostępu do poufnych informacji poprzez nieprawidłową kontrolę modyfikacji atrybutów obiektów. Wartość dostarczona przez użytkownika może zmienić ustawienie związane z kontrolą dostępu, które powinno być zarządzane przez system.
Ocena ryzyka
Może dojść do wycieku poufnych danych i obejścia mechanizmów kontroli dostępu w środowisku API Connect. Organizacja naraża się na naruszenie poufności danych oraz niezgodność z politykami bezpieczeństwa.
Rekomendacja
Zaktualizuj IBM API Connect do wersji zawierającej poprawkę i ogranicz uprawnienia kont uwierzytelnionych do niezbędnego minimum. Monitoruj logi pod kątem nietypowych zmian ustawień dostępu.
Inne podatności w IBM API Connect
Zobacz wszystkie- CVE-2017-1322Wysokie
IBM API Connect w wersji 5.0.6.0 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2017-1379Wysokie
IBM API Connect w wersji 5.0.0.0 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu niewłaściwego przetwarzania żądań do Portalu Dewelopera.
- CVE-2017-1161Wysokie
IBM API Connect w wersji 5.0.6.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń na systemie, z powodu niewłaściwej walidacji adresów URL w Portalu Dewelopera. Atakujący może wykorzystać tę podatność, tworząc złośliwy adres URL.
- CVE-2026-18838Krytyczne
IBM API Connect w wersjach 12.1.0.0–12.1.1.2 ma niewystarczającą weryfikację tożsamości przekazywanej w żądaniach. Zdalny atakujący może podszyć się pod innego użytkownika, uzyskać dostęp do poufnych informacji i modyfikować konfiguracje API.
- CVE-2026-18836Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na server-side request forgery (SSRF). Podatny komponent może być zmuszony do wysyłania żądań do niezamierzonych miejsc i zwracania odpowiedzi atakującemu.
- CVE-2026-18535Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 jest podatny na atak Regular Expression Denial of Service (ReDoS) oraz na niewłaściwą neutralizację operatorów zapytań z symbolami wieloznacznymi.
- CVE-2026-17410Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację separatorów argumentów. Zdalny uwierzytelniony atakujący może uzyskać dostęp do danych portalu innych dzierżawców i je modyfikować.
- CVE-2026-17409Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą obsługę wielkości liter w żądaniach. Kontrole dostępu nie są stosowane spójnie do wszystkich wariantów żądania, co może umożliwić zdalnemu atakującemu wykonanie nieautoryzowanych operacji administracyjnych i uzyskanie poufnych informacji.
- CVE-2026-17408Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 ma niewłaściwą neutralizację specjalnych elementów w poleceniach systemu operacyjnego. Zdalny atakujący może wykonać dowolny kod.
- CVE-2026-17403Krytyczne
IBM API Connect w wersjach 10.0.8.0–10.0.8.12 oraz 12.1.0.0–12.1.1.2 używa zaszytych na stałe poświadczeń. Zdalny atakujący może uzyskać pełną kontrolę administracyjną nad systemem.
Oryginalny opis (angielski, źródło NVD)
IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to obtain sensitive information due to improperly controlled modification of object attributes. A user-supplied value could change an access-related setting that should be controlled by the system, which could expose sensitive information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS