CVE-2026-4917
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
IBM Guardium Data Protection 12.1 może pozwolić użytkownikowi administracyjnemu na przechodzenie po katalogach systemu. Atakujący może wysłać spreparowane żądanie URL zawierające sekwencje "dot dot" (/../) w celu zapisania dowolnych plików w systemie.
Ocena ryzyka
Atakujący z uprawnieniami administracyjnymi może zapisać dowolne pliki w systemie, co może prowadzić do wykonania kodu lub naruszenia integralności systemu. Wymaga to jednak uprawnień administracyjnych.
Rekomendacja
Zastosuj dostępne aktualizacje IBM dla Guardium Data Protection. Ogranicz uprawnienia administracyjne i monitoruj nietypowe żądania URL.
Inne podatności w IBM Guardium Data Protection
Zobacz wszystkie- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
- CVE-2026-84272Krytyczne
IBM Guardium Data Protection 12.1 i 12.2.2 są podatne na brak uwierzytelnienia w komponencie edge-controller. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność do wykonania dowolnych obrazów kontenerów i przejęcia kontroli nad zarządzanymi klastrami brzegowymi.
- CVE-2026-84244Krytyczne
IBM Guardium Data Protection 12.2 jest podatny na trwałe cross-site scripting (XSS) w siatce wyników szybkiego wyszukiwania. Nieuwierzytelniony atakujący, który może wpływać na monitorowany ruch bazy danych, może wykonać złośliwy skrypt w przeglądarce uwierzytelnionego użytkownika Guardium.
- CVE-2026-84436Krytyczne
IBM Guardium Data Protection 12.2 jest podatny na wstrzyknięcie poleceń w funkcjonalności CLI eksportu certyfikatów. Uprzywilejowany uwierzytelniony użytkownik CLI może wykonać dowolne polecenia z uprawnieniami roota.
- CVE-2026-84082Krytyczne
IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.
- CVE-2026-84078Krytyczne
IBM Guardium Data Protection 12.2 jest podatny na lukę braku uwierzytelniania w LoadBalancerServlet. Nieuwierzytelniony użytkownik może uzyskać dostęp do uprzywilejowanych operacji load balancera, co może skutkować nieautoryzowanymi działaniami i wpłynąć na integralność oraz dostępność systemu.
- CVE-2026-84075Krytyczne
IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa z powodu braku uwierzytelniania dla ChangeTrackerServlet.
- CVE-2026-84073Krytyczne
IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.
Oryginalny opis (angielski, źródło NVD)
IBM Guardium Data Protection 12.1 could allow an administrative user to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to write arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS