CVE-2026-13107

IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę lukę do ujawnienia poufnych informacji lub zużycia zasobów pamięci.

IBM Business Automation Workflow (kontenery i instalacja tradycyjna) zawiera brak kontroli autoryzacji, który pozwala uwierzytelnionemu atakującemu wywołać zastrzeżone akcje importu. Luka wynika z nieodpowiedniego egzekwowania uprawnień przy operacjach importu.

IBM Business Automation Workflow (kontenery i wersja tradycyjna) jest podatny na atak XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji lub zużycia zasobów pamięci.

IBM Business Automation Workflow w wersjach kontenerowych i tradycyjnych 26.0.0, 25.0.0 do 25.0.0 Interim Fix 005, 24.0.1 do 24.0.1 Interim Fix 007 oraz 24.0.0 do 24.0.0 Interim Fix 009 nie weryfikuje poprawnie, czy nazwa hosta pasuje do certyfikatu serwera, co potencjalnie pozwala na połączenia z serwerem kontrolowanym przez atakującego.

IBM Business Automation Workflow (zarówno kontenery, jak i wersja tradycyjna) może ujawniać informacje o strukturze bazy danych w komunikatach błędów.

IBM Business Automation Workflow w kontenerach (wersje 24.0.0 do 24.0.0-IF006, 24.0.1 do 24.0.1-IF004, 25.0.0 do 25.0.0-IF001) oraz IBM Business Automation Workflow traditional z Process Federation Server (wersje 24.0.0 do 24.0.1 i 25.0.0) są podatne na cross-site scripting. Luka pozwala nieuwierzytelnionemu atakującemu na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co może zmienić zamierzone działanie i potencjalnie doprowadzić do ujawnienia poświadczeń w zaufanej sesji.