CVE-2026-6327
ŚrednieCVSS 4.3Streszczenie
IBM Concert w wersjach od 1.0.0 do 3.0.0 może pozwolić nieautoryzowanemu użytkownikowi na wstrzyknięcie danych do komunikatów dziennika z powodu niewłaściwej neutralizacji znaków specjalnych podczas zapisu do plików logów.
Ocena ryzyka
Nieautoryzowane wstrzyknięcie danych do logów może prowadzić do zatrucia logów, fałszowania wpisów lub utrudnienia analizy incydentów bezpieczeństwa.
Rekomendacja
Zaktualizuj IBM Concert do wersji nowszej niż 3.0.0, gdy będzie dostępna, i wdroż kontrolę dostępu do systemu oraz monitorowanie integralności logów.
Inne podatności w IBM Concert
Zobacz wszystkie- CVE-2026-6935Wysokie
IBM Concert w wersjach od 1.0.0 do 3.0.0 wywołuje polecenia systemu operacyjnego bez pełnego kwalifikowania ścieżek do plików wykonywalnych i bez odpowiedniego ograniczenia rozwiązywania ścieżek wyszukiwania. Atakujący z lokalnym dostępem do systemu może manipulować zmienną środowiskową ścieżki wyszukiwania, aby wykonać niezaufany lub złośliwy kod.
- CVE-2026-6925Średnie
IBM Concert w wersjach od 1.0.0 do 3.0.0 pozwala zdalnemu atakującemu na przejście po katalogach (path traversal) poprzez wysłanie spreparowanego żądania URL zawierającego sekwencje "..". Umożliwia to odczyt dowolnych plików w systemie.
- CVE-2026-6794Wysokie
IBM Concert w wersjach od 1.0.0 do 3.0.0 zawiera lukę podwójnego zwolnienia pamięci wynikającą z nieprawidłowego zarządzania pamięcią. Lokalny atakujący może wykorzystać tę wadę do uszkodzenia pamięci sterty i wykonania dowolnego kodu w kontekście podatnego procesu.
- CVE-2026-6718Średnie
IBM Concert w wersjach od 1.0.0 do 3.0.0 jest podatny na niewłaściwą kontrolę dostępu, co pozwala nieautoryzowanym użytkownikom na modyfikację plików aplikacji.
- CVE-2026-3626Średnie
IBM Concert w wersjach od 1.0.0 do 3.0.0 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji, gdy w przeglądarce zwracany jest szczegółowy komunikat o błędzie technicznym. Informacje te mogą być wykorzystane do dalszych ataków na system.
- CVE-2025-33015Wysokie
IBM Concert w wersjach od 1.0.0 do 2.1.0 jest podatny na złośliwe przesyłanie plików, ponieważ nie weryfikuje zawartości plików przesyłanych do interfejsu webowego. Atakujący może wykorzystać tę lukę do przesłania szkodliwych plików.
- CVE-2026-6928Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 odwołuje się do zwolnionej pamięci lub uzyskuje do niej dostęp (use-after-free). Atakujący mogący wpłynąć na wykonanie programu lub dane wejściowe może wykorzystać tę lukę do uszkodzenia pamięci, awarii aplikacji lub wykonania dowolnego kodu.
- CVE-2026-6730Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 jest podatny na przepełnienie bufora spowodowane niewłaściwym sprawdzaniem granic. Lokalny użytkownik może przepełnić bufor i wykonać dowolny kod w systemie.
- CVE-2026-6721Krytyczne
IBM Concert w wersjach 1.0.0 do 3.0.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu na dostarczenie specjalnie spreparowanych danych wejściowych, które są włączane do poleceń systemu operacyjnego, co prowadzi do wykonania dowolnych poleceń. Udana eksploatacja umożliwia zdalne wykonanie kodu z uprawnieniami aplikacji.
- CVE-2026-17472Krytyczne
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu dostęp do nieautoryzowanych zasobów lub ich modyfikację z powodu użycia symboli wieloznacznych w definicjach uprawnień RBAC.
Oryginalny opis (angielski, źródło NVD)
IBM Concert 1.0.0 through 3.0.0 could allow an unauthorized user to inject data into log messages due to improper neutralization of special elements when written to log files.