CVE-2026-13460
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.0.0 do 6.0.1.0 zawiera w kodzie źródłowym GUI zakodowany na stałe token, używany do komunikacji między węzłami klastra oraz do uwierzytelniania API REST między interfejsami GUI.
Ocena ryzyka
Osoba atakująca, która pozna token, może podszywać się pod zaufane węzły lub interfejsy GUI, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację IBM Storage Scale do wersji, w której token nie jest już zakodowany na stałe, oraz rotację wszystkich istniejących tokenów.
Inne podatności w IBM Storage Scale
Zobacz wszystkie- CVE-2026-76052Średnie
IBM Storage Scale System oraz IBM Storage Scale w wymienionych wersjach pozwalają atakującemu wykorzystać nieudokumentowaną flagę do uzyskania dostępu do nieuwierzytelnionej ścieżki w interfejsie REST API.
- CVE-2026-14469Średnie
IBM Storage Scale 5.2.3.0–5.2.3.9 i 6.0.1.0 pozwala uwierzytelnionemu atakującemu na dostęp i manipulację zestawami plików poza jego kontrolą z powodu niewłaściwej autoryzacji.
- CVE-2026-14437Średnie
IBM Storage Scale 5.2.3.0–5.2.3.9 i 6.0.1.0 pozwala zdalnemu atakującemu na przechodzenie po katalogach systemu poprzez wysłanie specjalnie spreparowanego żądania URL zawierającego sekwencje "dot dot" (/../) w celu przeglądania dowolnych plików.
- CVE-2026-14375Średnie
IBM Storage Scale w wersjach 5.2.3.0 do 5.2.3.8 oraz 6.0.1.0 nie waliduje lub nieprawidłowo waliduje certyfikaty TLS podczas komunikacji ze zdalnymi interfejsami GUI klastra. Może to pozwolić atakującemu na wstrzyknięcie sfałszowanych odpowiedzi JSON za pomocą technik man-in-the-middle.
- CVE-2026-19483Wysokie
IBM Storage Scale w wersjach 5.2.3.0-5.2.3.8 oraz 6.0.0.0-6.0.1.0 zawiera podatność, w której sekrety mogą być ujawniane w plikach dziennika w GUI zarządzania. Hasło administratora jest zapisywane w dzienniku GUI podczas wdrażania i aktualizacji systemu z GUI. Ponadto sekrety mogą być ujawniane w informacjach o wyjątkach w GUI zarządzania.
Oryginalny opis (angielski, źródło NVD)
IBM Storage Scale 5.2.3.0 through 5.2.3.8, and 6.0.0.0 through 6.0.1.0 GUI contains a hardcoded token in the source code, which was used for inter-node cluster communication and REST API authentication between GUI.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS