VULNERABILIDADDetectada 08 NOV · 17:42

CVE-2026-8640 Falsificación de petición (CSRF) en IBM Verify Directory

Las cookies de sesión no establecen el atributo SameSite, lo que expone la aplicación a ataques de falsificación de petición (CSRF) y permite que un atacante haga que navegadores de usuarios autenticados envíen peticiones no autorizadas. Afecta a IBM Security Verify Directory 10.0.0 a 10.0.4 e IBM Verify Directory 11.0.0.

3.5BAJA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,1 % · percentil 0
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

IBM Security Verify Directory
desde 10.0.0 hasta 10.0.4
IBM Verify Directory
11.0.0

Qué hacer

Verificá si usás Security Verify Directory y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 3.5 BAJA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioRequerida
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadBaja
DisponibilidadNinguna

Descripción original

IBM Security Verify Directory 10.0.0 through 10.0.4 and IBM Verify Directory 11.0.0 does not set the SameSite attribute on session cookies, making it vulnerable to Cross-Site Request Forgery (CSRF) attacks. An attacker can cause authenticated users' browsers to send unauthorized requests to the application.

Referencias (1)

www.ibm.com/support/pages/node/7293828

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.