CVE-2026-8860 Exposición de credenciales en IBM Verify Directory
La aceptación de peticiones GET para autenticación permite que las credenciales se envíen como parámetros de URL, exponiendo contraseñas en el historial del navegador y en los registros del servidor. Afecta a IBM Security Verify Directory 10.0.0 a 10.0.4 e IBM Verify Directory 11.0.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
IBM Security Verify Directory
desde 10.0.0 hasta 10.0.4
IBM Verify Directory
11.0.0
Qué hacer
- Verificá si usás Security Verify Directory y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
IBM Security Verify Directory 10.0.0 through 10.0.4 and IBM Verify Directory 11.0.0 accepts GET requests for authentication, allowing credentials to be passed as URL parameters. This causes passwords to be exposed in browser history and server logs.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.