CVE-2026-4418
ŚrednieCVSS 5.4Streszczenie
IBM Cloud Pak System w wersjach 2.3.6.0 i 2.3.6.1 jest podatny na wstrzykiwanie HTML. Zdalnie uwierzytelniony atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny hostingowej.
Ocena ryzyka
Wstrzyknięty kod HTML może zostać wykorzystany do oszukiwania użytkowników, kradzieży danych sesji lub wykonywania działań w imieniu ofiary w zaufanym kontekście witryny.
Rekomendacja
Zaktualizuj IBM Cloud Pak System do wersji zawierającej poprawkę. Do czasu aktualizacji ogranicz dostęp do interfejsu webowego i weryfikuj dane wejściowe użytkowników.
Inne podatności w IBM Cloud Pak System
Zobacz wszystkie- CVE-2026-3295Wysokie
IBM Cloud Pak System 2.3.6.0 i 2.3.6.1 jest podatny na cross-site scripting. Dane wejściowe użytkownika nie są prawidłowo oczyszczane ani kodowane HTML przed zapisaniem i wyświetleniem, co pozwala uwierzytelnionemu atakującemu na zapisanie złośliwego JavaScriptu (Stored XSS).
- CVE-2026-3161Średnie
IBM Cloud Pak System w wersjach 2.3.6.0 i 2.3.6.1 używa słabszych niż oczekiwane algorytmów kryptograficznych, co może umożliwić atakującemu odszyfrowanie wysoce wrażliwych informacji.
- CVE-2023-38375Średnie
IBM Cloud Pak System w wersjach 2.3.6.0 i 2.3.6.1 jest podatny na cross-site scripting. Luka pozwala użytkownikom osadzić dowolny kod JavaScript w interfejsie webowym, co może zmienić zamierzone funkcje i potencjalnie doprowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2026-13463Wysokie
IBM Cloud Pak System 2.3.5.0 może umożliwić lokalnemu atakującemu uzyskanie poufnych informacji z powodu zapisywania poświadczeń w plikach dziennika.
Oryginalny opis (angielski, źródło NVD)
IBM Cloud Pak System 2.3.6.0, and 2.3.6.1 is vulnerable to HTML injection. A remotely authenticated attacker could inject malicious HTML code, which when viewed, would be executed in the victim's Web browser within the security context of the hosting site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS