CVE-2025-36135
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
IBM Sterling B2B Integrator oraz IBM Sterling File Gateway są podatne na ataki typu cross-site scripting (XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie Web UI, co może zmienić zamierzone działanie aplikacji i potencjalnie doprowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać skrypt w przeglądarce innego użytkownika, przechwycić sesję lub dane logowania, co może prowadzić do nieautoryzowanego dostępu do systemu integracyjnego.
Rekomendacja
Zaktualizuj IBM Sterling B2B Integrator i IBM Sterling File Gateway do wersji zawierających poprawkę (poza wymienionymi zakresami wersji) i wdróż walidację danych wejściowych w interfejsie Web UI.
Inne podatności w IBM Sterling B2B Integrator
Zobacz wszystkie- CVE-2017-1192Wysokie
IBM Sterling B2B Integrator w wersji 5.2 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.
- CVE-2015-7410Wysokie
Narzędzie Health Check w IBM Sterling B2B Integrator 5.2 nieprawidłowo obsługuje ciasteczka w połączeniu z sesjami HTTPS, co umożliwia atakującym typu man-in-the-middle uzyskanie poufnych informacji lub modyfikację danych.
- CVE-2025-36431Średnie
Podatność XSS w IBM Sterling B2B Integrator i IBM Sterling File Gateway (wersje 6.2.2.0 do 6.2.2.0_1) pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym. Może to prowadzić do kradzieży danych uwierzytelniających w ramach zaufanej sesji.
- CVE-2025-36298Średnie
Podatność XSS w komponencie Ebics serwera IBM Sterling B2B Integrator i IBM Sterling File Gateway (wiele wersji) pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym. Może to prowadzić do kradzieży danych uwierzytelniających w ramach zaufanej sesji.
- CVE-2026-3158Średnie
IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach są podatne na ujawnienie informacji z powodu umieszczenia wrażliwych danych w komentarzach kodu źródłowego komponentu dashboardu.
- CVE-2026-3157Średnie
IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach są podatne na ujawnienie informacji z powodu umieszczenia wrażliwych danych w komentarzach kodu źródłowego komponentu skrzynki pocztowej.
- CVE-2026-1918Średnie
IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach przechowują potencjalnie wrażliwe informacje w plikach dziennika, które mogą być odczytane przez uprzywilejowanego użytkownika.
- CVE-2026-7362Średnie
IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach umożliwiają uwierzytelnionemu użytkownikowi uzyskanie dostępu do wrażliwych informacji, które powinny być dostępne tylko dla uprzywilejowanego użytkownika.
- CVE-2026-7775Średnie
IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach są podatne na trwałe cross-site scripting (XSS). Uprzywilejowany użytkownik może osadzić dowolny kod JavaScript w interfejsie WWW, zmieniając zamierzoną funkcjonalność i potencjalnie prowadząc do ujawnienia danych uwierzytelniających w zaufanej sesji.
- CVE-2026-3482Średnie
IBM Sterling B2B Integrator i IBM Sterling File Gateway w wersjach 6.2.0.0 do 6.2.0.5_2, 6.2.1.0 do 6.2.1.1_2 oraz 6.2.2.0 do 6.2.2.0_1 mogą pozwolić nieuwierzytelnionemu użytkownikowi na odczyt wrażliwych informacji poprzez ominięcie uwierzytelnienia za pomocą specjalnie spreparowanego żądania HTTP.
Oryginalny opis (angielski, źródło NVD)
IBM Sterling B2B Integrator 6.0.0.0 through 6.1.2.7_1, 6.2.0.0 through 6.2.0.5, and 6.2.1.0 and IBM Sterling File Gateway 6.0.0.0 through 6.1.2.7_1, 6.2.0.0 through 6.2.0.5, and 6.2.1.0 is vulnerable to cross-site scripting. This vulnerability allows an authenticated user to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS