VULNERABILIDADDetectada 07 NOV · 03:16

CVE-2026-17428 Autorización incorrecta en IBM API Connect permite acceder a información ajena

Los valores enviados en la URL de la petición se usan en decisiones de autorización sin verificación suficiente. Un atacante autenticado de forma remota podría acceder a información perteneciente a otros. Afecta a IBM API Connect 10.0.8.0 a 10.0.8.12 y 12.1.0.0 a 12.1.1.2.

5.0MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 27
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

IBM API Connect
desde 12.1.0.0 hasta 12.1.1.2desde 10.0.8.0 hasta 10.0.8.12

Qué hacer

Verificá si usás API Connect y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.0 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Descripción original

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to obtain sensitive information due to improper authorization. Values supplied in the request URL are used in authorization decisions without sufficient verification, which could allow access to information belonging to others.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.