VULNERABILIDADDetectada 04 NOV · 19:14

CVE-2026-13289 Inyección de entidades externas XML en IBM MQ Managed File Transfer

IBM MQ Managed File Transfer es vulnerable a ataques de inyección de entidades externas XML (XXE) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir recursos de memoria.

7.1ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 30
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

IBM MQ
desde 9.2.0.0 hasta 9.2.0.44desde 9.3.0.0 hasta 9.3.0.42desde 9.4.0.0 hasta 9.4.0.26desde 9.4.0.0 hasta 9.4.5.1desde 10.0.0.0 hasta 10.0.0.5

Qué hacer

Verificá si usás MQ y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadBaja

Descripción original

IBM MQ 9.2.0.0 through 9.2.0.44 LTS, 9.3.0.0 through 9.3.0.42 LTS, 9.4.0.0 through 9.4.0.26 LTS, 9.4.0.0 through 9.4.5.1 CD, and 10.0.0.0 through 10.0.0.5 LTS and CD is vulnerable to an XML external entity injection (XXE) attack when processing XML data. A remote attacker could exploit this vulnerability to expose sensitive information or consume memory resources.

Referencias (1)

www.ibm.com/support/pages/node/7294499

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.