CVE-2026-75590 Falsificación de petición del lado del servidor (SSRF) en IBM API Connect
Se puede eludir una protección que bloquea peticiones a direcciones internas, por lo que el servidor podría ser inducido a contactar servicios internos y devolver parte de sus respuestas. Un atacante remoto podría acceder a recursos de red internos y obtener información sensible. Afecta a IBM API Connect 12.1.0.0 a 12.1.1.2.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
IBM API Connect
desde 12.1.0.0 hasta 12.1.1.2
Qué hacer
- Verificá si usás API Connect y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.2 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to access internal network resources and obtain sensitive information due to server-side request forgery. A protection that blocks requests to internal addresses can be bypassed, so the server could be made to contact internal services and return part of their responses.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.