CVE-2026-3295
WysokieCVSS 7.4Streszczenie
IBM Cloud Pak System 2.3.6.0 i 2.3.6.1 jest podatny na cross-site scripting. Dane wejściowe użytkownika nie są prawidłowo oczyszczane ani kodowane HTML przed zapisaniem i wyświetleniem, co pozwala uwierzytelnionemu atakującemu na zapisanie złośliwego JavaScriptu (Stored XSS).
Ocena ryzyka
Złośliwy skrypt zapisany w aplikacji wykonuje się automatycznie, gdy użytkownik wyświetli dotkniętą stronę. Może to prowadzić do kradzieży sesji lub działań w imieniu użytkownika.
Rekomendacja
Zaktualizuj IBM Cloud Pak System do wersji zawierającej poprawkę. Wdróż walidację i kodowanie danych wejściowych.
Inne podatności w IBM Cloud Pak System
Zobacz wszystkie- CVE-2026-4418Średnie
IBM Cloud Pak System w wersjach 2.3.6.0 i 2.3.6.1 jest podatny na wstrzykiwanie HTML. Zdalnie uwierzytelniony atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny hostingowej.
- CVE-2026-3161Średnie
IBM Cloud Pak System w wersjach 2.3.6.0 i 2.3.6.1 używa słabszych niż oczekiwane algorytmów kryptograficznych, co może umożliwić atakującemu odszyfrowanie wysoce wrażliwych informacji.
- CVE-2023-38375Średnie
IBM Cloud Pak System w wersjach 2.3.6.0 i 2.3.6.1 jest podatny na cross-site scripting. Luka pozwala użytkownikom osadzić dowolny kod JavaScript w interfejsie webowym, co może zmienić zamierzone funkcje i potencjalnie doprowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2026-13463Wysokie
IBM Cloud Pak System 2.3.5.0 może umożliwić lokalnemu atakującemu uzyskanie poufnych informacji z powodu zapisywania poświadczeń w plikach dziennika.
Oryginalny opis (angielski, źródło NVD)
IBM Cloud Pak System 2.3.6.0, and 2.3.6.1 is vulnerable to cross site scripting. The web app user‑supplied input is not properly sanitized or HTML‑encoded before being stored and rendered. An authenticated attacker could exploit this vulnerability by entering specially crafted payloads containing malicious JavaScript which are saved within the app and later executed automatically when user views affected pages, resulting in Stored Cross‑Site Scripting (Stored XSS).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS