CVE-2026-18531

IBM Maximo Application Suite w wersjach 9.0.0–9.0.15 oraz 9.1.0–9.1.4 może pozwolić zdalnemu atakującemu obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp do aplikacji.

IBM Maximo Application Suite - Location Service for Esri Component w wersjach 9.2, 9.1 i 9.0 jest podatny na nieprawidłową walidację danych wejściowych z powodu nieoczyszczonej konfiguracji obrazu kontenera w szablonie operatora Kubernetes.

IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1 i 9.2 może umożliwić zdalnemu atakującemu przeglądanie katalogów w systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje „dot dot” (/../), aby wyświetlić dowolne pliki w systemie.

IBM Maximo Application Suite 9.2, 9.1 i 9.0 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając taki link na stronie, którą użytkownik odwiedza. Ciasteczko zostanie wysłane do niezabezpieczonego linku, a atakujący może je przechwycić, podsłuchując ruch.

IBM Maximo Application Suite w wersjach 9.1, 9.0, 8.11 i 8.10 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając go w odwiedzanej witrynie — ciasteczko zostanie przesłane niezabezpieczonym łączem, a atakujący może je przechwycić, podsłuchując ruch.