CVE-2026-13772
Açıklama
IBM WebSphere Extreme Scale 8.6.1.0 ile 8.6.1.6 arasındaki sürümlerin Object Query Language motoru, saldırgan tarafından sağlanan sınıf isimlerini herhangi bir izin listesi olmaksızın üç farklı noktada (SELECT NEW, enum sabitleri ve yansıma tabanlı karşılaştırıcılar) Class.forName() aracılığıyla çözümlemekte ve bunların yapıcılarını çağırmaktadır; uygulama tarafından oluşturulan bir OQL sorgu dizesini etkileyebilen kimliği doğrulanmış uzak bir saldırgan, WAS JVM üzerinde rastgele yapıcılar çalıştırabilir ve yerleştirilmiş grid değerlerini kullanan bir SELECT DISTINCT varyantı, aynı gadget'ı readObject sonrası, grid düğüm sınırları boyunca JEP-290 serileştirme filtrelerinden geçecek şekilde tetikler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ibm websphere_extreme_scale | 8.6.1.0 ≤ v ≤ 8.6.1.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.