VULNERABILIDADDetectada 07 NOV · 03:16

CVE-2026-18836 Falsificación de petición del lado del servidor (SSRF) en IBM API Connect

El componente afectado puede ser inducido a enviar peticiones a destinos no previstos y devolver la respuesta al atacante. Un atacante remoto podría obtener información sensible. Afecta a IBM API Connect 10.0.8.0 a 10.0.8.12 y 12.1.0.0 a 12.1.1.2.

9.3CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 35
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

IBM API Connect
desde 12.1.0.0 hasta 12.1.1.2desde 10.0.8.0 hasta 10.0.8.12

Qué hacer

Verificá si usás API Connect y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 9.3 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadBaja
IntegridadAlta
DisponibilidadNinguna

Descripción original

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information due to server-side request forgery. The affected component can be made to send requests to unintended destinations and return the response to the attacker.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.