CVE-2026-18131
WysokieCVSS 8.2Streszczenie
IBM Financial Transaction Manager (FTM) for RedHat OpenShift nie neutralizuje prawidłowo danych wejściowych HTML, co umożliwia atak typu cross-site scripting (XSS). Zdalny atakujący może wykonać dowolny kod JavaScript w przeglądarce uwierzytelnionego użytkownika.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane lub wykonać działania w jego imieniu, co może prowadzić do naruszenia bezpieczeństwa systemu finansowego.
Rekomendacja
Zastosuj aktualizacje bezpieczeństwa IBM dla FTM for RedHat OpenShift oraz wdróż walidację i kodowanie danych wejściowych HTML po stronie aplikacji.
Inne podatności w IBM Financial Transaction Manager for RedHat OpenShift
Zobacz wszystkie- CVE-2026-18134Wysokie
IBM Financial Transaction Manager (FTM) for RedHat OpenShift przesyła dane wrażliwe w postaci jawnej (bez szyfrowania). Zdalny atakujący może przechwycić te dane i uzyskać dostęp do informacji poufnych.
- CVE-2026-18123Wysokie
IBM Financial Transaction Manager (FTM) for RedHat OpenShift nieprawidłowo wykorzystuje mechanizm refleksji z danymi wejściowymi kontrolowanymi przez użytkownika. Zdalny atakujący może doprowadzić do odmowy usługi (DoS).
- CVE-2026-18095Wysokie
IBM Financial Transaction Manager (FTM) for RedHat OpenShift zawiera błąd przepełnienia bufora. Zdalny uwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
- CVE-2026-18074Wysokie
IBM Financial Transaction Manager (FTM) for RedHat OpenShift ma nieprawidłową autoryzację i brak uwierzytelniania w niektórych funkcjach. Zdalny atakujący może wykonać nieautoryzowane działania.
- CVE-2026-18066Wysokie
IBM Financial Transaction Manager (FTM) for RedHat OpenShift jest podatny na atak typu server-side request forgery (SSRF). Lokalny atakujący może uzyskać dostęp do informacji poufnych i wywołać nieautoryzowane działania.
Oryginalny opis (angielski, źródło NVD)
IBM Financial Transaction Manager (FTM) for RedHat OpenShift could allow a remote attacker to execute arbitrary JavaScript in an authenticated user's browser due to improper neutralization of HTML input.