CVE-2025-36239
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
IBM Storage TS4500 Library w wersjach 1.11.0.0 i 2.11.0.0 jest podatna na cross-site scripting. Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie Web UI, zmieniając jego zamierzone działanie.
Ocena ryzyka
Może to prowadzić do ujawnienia poświadczeń w ramach zaufanej sesji użytkownika. Atak nie wymaga uwierzytelnienia, co zwiększa ryzyko.
Rekomendacja
Zastosuj aktualizacje bezpieczeństwa IBM dla Storage TS4500 Library. Rozważ ograniczenie dostępu do interfejsu Web UI do zaufanych sieci.
Inne podatności w IBM Storage TS4500 Library
Zobacz wszystkie- CVE-2026-19178Średnie
IBM Storage TS4500 Library w wersjach od 1.1.1.6 do 1.12.0.3 może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie nieautoryzowanych uprawnień administracyjnych w wyniku warunku wyścigu (race condition).
- CVE-2025-36252Średnie
IBM Storage TS4500 Library oraz IBM TS4500 Tape Library/Diamondback Tape Library w wersjach od 1.1.1.6 do 1.12.0.3 nie unieważniają sesji, co może umożliwić uwierzytelnionemu użytkownikowi podszycie się pod innego użytkownika w systemie.
- CVE-2025-36069Średnie
IBM Storage TS4500 Library w wersjach od 1.1.1.6 do 1.12.0.3 nie unieważnia sesji po wylogowaniu, co może umożliwić uwierzytelnionemu użytkownikowi podszycie się pod innego użytkownika w systemie.
- CVE-2025-36061Średnie
IBM Storage TS4500 Library oraz IBM Diamondback Tape Library w wersjach od 1.1.1.6 do 1.12.0.3 mogą umożliwić uwierzytelnionemu użytkownikowi wywołanie odmowy usługi (denial of service) za pomocą specjalnie spreparowanych żądań SMTP zużywających nadmierne ilości zasobów systemowych.
Oryginalny opis (angielski, źródło NVD)
IBM Storage TS4500 Library 1.11.0.0 and 2.11.0.0 is vulnerable to cross-site scripting. This vulnerability allows an unauthenticated attacker to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS