The HTTPInput node in IBM WebSphere Message Broker 7.0 before 7.0.0.8 and 8.0 before 8.0.0.6 and IBM Integration Bus 9.0 before 9.0.0.4 allo

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm integration bus9.0
• ibm integration bus9.0.0.1
• ibm integration bus9.0.0.2
• ibm integration bus9.0.0.3
• ibm websphere message broker7.0.
• ibm websphere message broker7.0.0.1
• ibm websphere message broker7.0.0.2
• ibm websphere message broker7.0.0.3
• ibm websphere message broker7.0.0.4
• ibm websphere message broker7.0.0.5
• ibm websphere message broker7.0.0.6
• ibm websphere message broker7.0.0.7
• ibm websphere message broker8.0
• ibm websphere message broker8.0.0.1
• ibm websphere message broker8.0.0.2
• ibm websphere message broker8.0.0.3
• ibm websphere message broker8.0.0.4
• ibm websphere message broker8.0.0.5

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-9706IBM Integration Bus 9.0 and 10.0 and WebSphere Message Broker SOAP FLOWS is vulnerable to a denial of service, caused by an XML External Ent
  37Наблюдать
• CVE-2017-1694IBM Integration Bus 9.0 and 10.0 transmits user credentials in plain in clear text which can be read by an attacker using man in the middle
  32Наблюдать
• CVE-2025-36014IBM Integration Bus for z/OS code injection
  26Наблюдать
• CVE-2024-27265IBM Integration Bus for z/OS cross-site request forgery
  26Наблюдать
• CVE-2024-22332IBM Integration Bus for z/OS denial of service
  26Наблюдать
• CVE-2016-9010IBM WebSphere Message Broker 9.0 and 10.0 could allow a remote attacker to hijack the clicking action of the victim.
  24Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.