CVE-2026-18838 Autenticación incorrecta en IBM API Connect permite suplantar usuarios
La información de identidad enviada en las peticiones no se verifica suficientemente. Un atacante remoto podría hacerse pasar por otro usuario, obtener información sensible y modificar configuraciones de API. Afecta a IBM API Connect 12.1.0.0 a 12.1.1.2.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 52
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
IBM API Connect
desde 12.1.0.0 hasta 12.1.1.2
Qué hacer
- Verificá si usás API Connect y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.4 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadBaja
Descripción original
IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information and modify API configurations due to improper authentication. Identity information supplied in requests is not sufficiently verified, which could allow a caller to impersonate another user.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.