CVE-2025-36249

NiskieCVSS 3.7

Opublikowano: 31/10/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

IBM Jazz for Service Management 1.1.3.0 do 1.1.3.25 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając go na stronie, którą użytkownik odwiedza. Ciasteczko zostanie wysłane przez niezabezpieczone połączenie, a atakujący może je przechwycić.

Ocena ryzyka

Ryzyko przechwycenia sesji użytkownika i nieautoryzowanego dostępu do systemu.

Rekomendacja

Zaleca się aktualizację IBM Jazz for Service Management do wersji nowszej niż 1.1.3.25 oraz skonfigurowanie atrybutu secure dla ciasteczek.

Inne podatności w IBM Jazz for Service Management

CVE-2016-9975Wysokie
IBM Jazz for Service Management w wersjach 1.1.2.1 i 1.1.3 jest podatny na atak typu cross-site request forgery, co może umożliwić atakującemu wykonanie złośliwych i nieautoryzowanych działań w imieniu zaufanego użytkownika.

Oryginalny opis (angielski, źródło NVD)

IBM Jazz for Service Management 1.1.3.0 through 1.1.3.25 does not set the secure attribute on authorization tokens or session cookies. Attackers may be able to get the cookie values by sending a http:// link to a user or by planting this link in a site the user goes to. The cookie will be sent to the insecure link and the attacker can then obtain the cookie value by snooping the traffic.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS