Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Патч
Опубликована

CVE-2026-105052

IBM Maximo Application Suite Information Disclosure

Публикация: 13.10.2026·Обновлена: 13.10.2026, 16:48·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

IBM Maximo Application Suite 8.10, 8.11, 9.0, 9.1, and 9.2 could allow a remote attacker to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to view arbitrary files on the system.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

A fix has been released for all supported MAS versions and will also be included in the next monthly update https://www.ibm.com/support/pages/node/6570601 . We strongly recommend applying this fix immediately rather than waiting for the monthly update. Remediated Product(s)Mas Verision(s)CoreIdp Version(s)IBM Maximo Application Suite8.10.373.2.201IBM Maximo Application Suite8.11.344.0.179IBM Maximo Application Suite9.0.325.1.148IBM Maximo Application Suite9.1.266.3.60IBM Maximo Application Suite9.2.78.1.36

CVE Record: ibm ↗

3. Временные меры

How To Apply the Fix * Open the OpenShift console and navigate to Administration > CustomResourceDefinitions.  * Search for coreidp. * Show coreidp instances. * Select the instance associated with your MAS installation; * Edit Coreidp CR for your instance with the following under spec.settings field: * Under the spec.settings field, add the following configuration, replacing with the value specified in the table above for your MAS release: spec: settings: imageTags: coreidplogin: * Save the change. This will trigger the Coreidp Entity Manager operator to reconcile and recreate the coreidp-login deployment automatically. * Wait for the new deployment to become ready, then follow the validation steps below.  IMPORTANT: Only remove the imageTags override from the Suite settings AFTER updating to the October 2026 monthly update or later, as earlier versions do not include the fix. Removing it before that point will revert your installation to the vulnerable version.

CVE Record: ibm ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

IBM / Maximo Application Suite 

{
  "status": "affected",
  "version": "8.10"
}
{
  "status": "affected",
  "version": "8.11"
}
{
  "status": "affected",
  "version": "9.0"
}
{
  "status": "affected",
  "version": "9.1"
}
{
  "status": "affected",
  "version": "9.2"
}
cpe:2.3:a:ibm:maximo_application_suite:8.10:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:8.10.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:8.11:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:8.11.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:9.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:9.0.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:9.1:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:9.1.0:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:9.2:*:*:*:*:*:*:*
cpe:2.3:a:ibm:maximo_application_suite:9.2.0:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve7.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьнет
A · Доступностьнет

Классы CWE

CWE-22 · Обход каталогов (Path Traversal)

Источники и ссылки

Исправление · www.ibm.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:13:51.784139+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:37:18.499354+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:37:18.499354+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:37:18.499354+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:13:51.784139+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:37:18.499354+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

  1. Данные обновлены05.11.2026, 00:13
  2. Данные обновлены04.11.2026, 00:11
  3. Данные обновлены03.11.2026, 00:10
  4. Данные обновлены02.11.2026, 00:09
  5. Данные обновлены31.10.2026, 11:56
  6. Данные обновлены30.10.2026, 16:08
  7. Данные обновлены29.10.2026, 11:10
  8. Появились сведения об исправлении28.10.2026, 22:37

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-4820
IBM Maximo Application Suite was vulnerable to because Cookie ltpatoken2_ was not set with secure flag
IBM / Maximo Application Suite · ibm / maximo_application_suite
Средний4.3
0,12 %
Патч
01.04.2026
CVE-2026-18531
IBM MAS uses axios-1.15.2, protobufjs-8.0.1 and undici-7.26 which is vulnerable to multiple CVEs, and contains vulnerabilities related to missing Secure attribute on mas-redirect-uri cookie and weak HMAC Session Secret
IBM / Maximo Application Suite
Средний5.3
0,38 %
Патч
05.08.2026
CVE-2026-15656
IBM MAS uses axios-1.15.2, protobufjs-8.0.1 and undici-7.26 which is vulnerable to multiple CVEs, and contains vulnerabilities related to missing Secure attribute on mas-redirect-uri cookie and weak HMAC Session Secret
IBM / Maximo Application Suite
Средний4.3
0,19 %
Патч
05.08.2026
CVE-2025-2898
IBM Maximo Application Suite privilege escalation
IBM / Maximo Application Suite
Высокий7.5
0,34 %
Патч
06.05.2025
CVE-2025-1500
IBM Maximo Application Suite file upload
IBM / Maximo Application Suite
Средний5.5
0,29 %
Патч
05.04.2025
CVE-2026-105052: IBM Maximo Application Suite Information Disclosure · CVE Радар