CVE-2026-17468
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
IBM Documentation Offline w wersjach od 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na sfałszowanie prawidłowych tokenów sesji z powodu użycia twardo zakodowanego klucza kryptograficznego.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników i uzyskać nieautoryzowany dostęp do systemu, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji, która nie zawiera twardo zakodowanego klucza, oraz rotację wszystkich istniejących kluczy sesji.
Inne podatności w IBM Documentation Offline
Zobacz wszystkie- CVE-2026-17482Krytyczne
IBM Documentation Offline 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej kontroli ścieżek plików.
- CVE-2026-17481Wysokie
IBM Documentation Offline w wersjach od 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji danych wyjściowych dla logów.
- CVE-2026-17473Wysokie
IBM Documentation Offline w wersjach od 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików z powodu nieprawidłowego ograniczenia ścieżki do katalogu.
- CVE-2026-16713Średnie
IBM Documentation Offline w wersjach od 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu błędnej konfiguracji zabezpieczeń, gdzie serwer dokumentacji wiąże się z nieograniczonym adresem IP.
Oryginalny opis (angielski, źródło NVD)
IBM Documentation Offline 1.0.0 through 1.4.1 could allow a remote attacker to forge valid session tokens due to the use of a hardcoded cryptographic key.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS