CVE-2026-3144
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
IBM API Connect w wersjach od 12.1.0.0 do 12.1.0.3 używa domyślnych poświadczeń, co może umożliwić atakującemu nieautoryzowany dostęp do aplikacji przed wymuszeniem zmiany tych poświadczeń przez system.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad aplikacją przez osobę nieupoważnioną, co może prowadzić do naruszenia poufności i integralności danych oraz zakłócenia działania usług API.
Rekomendacja
Należy natychmiast zmienić wszystkie domyślne poświadczenia w IBM API Connect oraz wdrożyć politykę wymuszającą ich zmianę przy pierwszym logowaniu.
Inne podatności w IBM API Connect
Zobacz wszystkie- CVE-2017-1322Wysokie
IBM API Connect w wersji 5.0.6.0 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2017-1379Wysokie
IBM API Connect w wersji 5.0.0.0 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu niewłaściwego przetwarzania żądań do Portalu Dewelopera.
- CVE-2017-1161Wysokie
IBM API Connect w wersji 5.0.6.0 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń na systemie, z powodu niewłaściwej walidacji adresów URL w Portalu Dewelopera. Atakujący może wykorzystać tę podatność, tworząc złośliwy adres URL.
- CVE-2026-9074Krytyczne
IBM API Connect w wersjach 10.0.8.0 do 10.0.8.9 oraz 12.1.0.0 do 12.1.0.3 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w funkcji resetowania hasła.
- CVE-2025-13915Krytyczne
IBM API Connect w wersjach 10.0.8.0 do 10.0.8.5 oraz 10.0.11.0 może pozwolić zdalnemu atakującemu na ominięcie mechanizmów uwierzytelniania i uzyskanie nieautoryzowanego dostępu do aplikacji.
Oryginalny opis (angielski, źródło NVD)
IBM API Connect 12.1.0.0 through 12.1.0.3 uses default credentials which could allow an attacker to gain unauthorized access to the application before the system enforces a credential update.