CVE-2026-4820
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
IBM Maximo Application Suite w wersjach 9.1, 9.0, 8.11 i 8.10 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając go w odwiedzanej witrynie — ciasteczko zostanie przesłane niezabezpieczonym łączem, a atakujący może je przechwycić, podsłuchując ruch.
Ocena ryzyka
Przechwycenie ciasteczek sesji lub tokenów autoryzacyjnych może umożliwić przejęcie sesji użytkownika i nieautoryzowany dostęp do aplikacji. Ryzyko jest szczególnie istotne w sieciach, w których możliwe jest podsłuchiwanie ruchu.
Rekomendacja
Zaktualizuj IBM Maximo Application Suite do wersji zawierającej poprawkę. W miarę możliwości wymuszaj HTTPS i rozważ dodatkowe mechanizmy ochrony ciasteczek sesji.
Inne podatności w IBM Maximo Application Suite
Zobacz wszystkie- CVE-2025-36386Krytyczne
IBM Maximo Application Suite w wersjach 9.0.0–9.0.15 oraz 9.1.0–9.1.4 może pozwolić zdalnemu atakującemu obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp do aplikacji.
- CVE-2026-18533Średnie
IBM Maximo Application Suite - Location Service for Esri Component w wersjach 9.2, 9.1 i 9.0 jest podatny na nieprawidłową walidację danych wejściowych z powodu nieoczyszczonej konfiguracji obrazu kontenera w szablonie operatora Kubernetes.
- CVE-2026-105052Wysokie
IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1 i 9.2 może umożliwić zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../), aby wyświetlić dowolne pliki w systemie.
- CVE-2026-18531Średnie
IBM Maximo Application Suite 9.2, 9.1 i 9.0 może pozwolić zdalnemu atakującemu na manipulowanie danymi sesji z powodu użycia słabego sekretu podpisywania sesji HMAC.
- CVE-2026-15656Średnie
IBM Maximo Application Suite 9.2, 9.1 i 9.0 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając taki link na stronie, którą użytkownik odwiedza. Ciasteczko zostanie wysłane do niezabezpieczonego linku, a atakujący może je przechwycić, podsłuchując ruch.
Oryginalny opis (angielski, źródło NVD)
IBM Maximo Application Suite 9.1, 9.0, 8.11, and 8.10 does not set the secure attribute on authorization tokens or session cookies. Attackers may be able to get the cookie values by sending a http:// link to a user or by planting this link in a site the user goes to. The cookie will be sent to the insecure link and the attacker can then obtain the cookie value by snooping the traffic.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS