CVE-2026-8861
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w IBM Security Verify umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez szczegółowy komunikat błędu technicznego zwracanego w przeglądarce. Informacje te mogą zostać wykorzystane w dalszych atakach na system.
Ocena ryzyka
Ryzyko polega na wycieku danych technicznych, które mogą ułatwić atakującemu przeprowadzenie bardziej zaawansowanych ataków, takich jak eskalacja uprawnień czy przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację IBM Security Verify do najnowszej wersji oraz skonfigurowanie serwera tak, aby nie zwracał szczegółowych komunikatów błędów w środowisku produkcyjnym.
Powiązane podatności
- CVE-2026-109694Krytyczne
Wtyczka Fluent CRM (do 3.2.5) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie WordPress.
- CVE-2026-108497Krytyczne
Wtyczka Amelia Booking (do 2.4.10) zawiera podatność wstrzyknięcia SQL (SQL Injection) wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku lub modyfikacji danych.
- CVE-2026-50619Krytyczne
W Qsirch wykryto podatność typu path traversal, która może pozwolić zdalnym atakującym na odczyt nieoczekiwanych plików lub danych systemowych. Podatność została naprawiona w wersji 7.0.3.0 i późniejszych.
- CVE-2026-50612Krytyczne
W QuMagie wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi (symlink following). Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do naruszenia bezpieczeństwa systemu. Podatność została naprawiona w wersji 2.9.2 i późniejszych.
- CVE-2026-47786Krytyczne
W HybridDesk Station wykryto podatność wstrzyknięcia poleceń systemu operacyjnego (OS command injection), która może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń. Podatność została naprawiona w wersjach 4.2.23 i 4.3.4 oraz późniejszych.
- CVE-2026-34006Krytyczne
W sMedio DTCP MOVE wykryto podatność braku uwierzytelniania dla krytycznej funkcji, która może pozwolić zdalnym atakującym na uzyskanie dostępu do systemu. Podatność została naprawiona w wersji 1.4.5 i późniejszych.
- CVE-2026-19863Krytyczne
W EthereumAuthenticator nieuwierzytelniony klient może uzyskać dostęp do chronionych zasobów, jeśli ścieżka żądania zawiera skonfigurowaną ścieżkę logowania. Jest to spowodowane użyciem niezakończonego dopasowania podciągu przy identyfikacji strony logowania, co może prowadzić do zastąpienia wymagań uwierzytelniania lub ról wartością ALLOWED.
- CVE-2026-16438Krytyczne
W produktach Mitsubishi Electric (GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64) w wersjach 10.97.3 i wcześniejszych występuje podatność nieprawidłowego przypisania uprawnień. Instalatory przyznają domyślne uprawnienia DCOM kontu administratora, co pozwala atakującemu na lokalne lub zdalne uruchamianie i obsługę obiektów DCOM, które powinny wymagać podniesienia uprawnień UAC.
- CVE-2026-16436Krytyczne
W produktach Mitsubishi Electric (GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz) występuje słaby mechanizm odzyskiwania hasła. Challenge response używany do odblokowania systemu jest wspólny dla wszystkich użytkowników i stały, co pozwala zdalnemu atakującemu na odblokowanie systemu po jego uzyskaniu.
- CVE-2026-102469Krytyczne
Klient Vert.x DB2 (vertx-db2-client) deserializuje dane kolumn typu UDT za pomocą wywołania ObjectInputStream.readObject() bez filtra klas. Złośliwy lub pośredniczący serwer DRDA może wysłać odpowiedź z kolumną oznaczoną jako UDT (FDOCA LID 0x50), co prowadzi do deserializacji danych kontrolowanych przez atakującego. Ponieważ TLS jest domyślnie wyłączony, atak man-in-the-middle jest wykonalny.
Oryginalny opis (angielski, źródło NVD)
IBM Security Verify could allow a remote attacker to obtain sensitive information when a detailed technical error message is returned in the browser. This information could be used in further attacks against the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS