CVE-2026-16338
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność wynikającą z niewłaściwej walidacji ścieżek plików. Uwierzytelniony zdalny atakujący może w wyniku tego zapisać plik w dowolnej lokalizacji.
Ocena ryzyka
Atakujący z ważnym kontem może nadpisać lub utworzyć dowolne pliki na serwerze, co grozi wykonaniem kodu lub utratą integralności danych.
Rekomendacja
Zaktualizuj IBM DataStage do wersji zawierającej poprawkę oraz ogranicz uprawnienia kont usługowych i zweryfikuj poprawność walidacji ścieżek.
Inne podatności w IBM DataStage
Zobacz wszystkie- CVE-2026-81212Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 pozwala nieuwierzytelnionemu użytkownikowi na dowolny zapis do współdzielonego Redis pod kluczem dowolnego tenanta. Narusza to granicę szyfrowania poświadczeń platformy i umożliwia anonimowemu wywołującemu zatrucie parametrów przepływu w pamięci podręcznej dowolnego tenanta.
- CVE-2026-82110Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki (path traversal) z powodu nieprawidłowej walidacji nazw ścieżek. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.
- CVE-2026-82103Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 ujawnia wrażliwe informacje nieupoważnionemu podmiotowi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania poufnych danych.
- CVE-2026-82101Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki, która może prowadzić do odmowy usługi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do zakłócenia działania usługi.
- CVE-2026-81549Krytyczne
IBM DataStage w Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej walidacji nagłówka X-Forwarded-Proto.
- CVE-2026-16346Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniu systemu operacyjnego.
- CVE-2026-84418Wysokie
IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić atakującemu typu man-in-the-middle na przedstawienie sfałszowanego certyfikatu TLS, przechwycenie połączenia i zdobycie nagłówka autoryzacyjnego IAM, co daje pełny dostęp do API dzierżawcy.
- CVE-2026-82108Wysokie
IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu systemu operacyjnego.
- CVE-2026-82096Wysokie
IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu systemu operacyjnego.
- CVE-2026-81539Wysokie
IBM DataStage w Cloud Pak for Data 5.4.0.0 zawiera podatność polegającą na niewłaściwej neutralizacji znaków specjalnych używanych w poleceniach systemu operacyjnego. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
IBM DataStage on Cloud Pak for Data 5.4.0.0 IBM DataStage could allow a remote authenticated attacker to perform an arbitrary file write due to improper validation of file paths.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS