CVE-2026-2606
Vulnérabilité moyenne dans webMethods API Gateway (on-prem) (IBM)
CVSS 6.5 · Moyenne
EPSS 0.5%
IBM•webMethods API Gateway (on-prem)•Versions : 10.11, 10.15, <=10.11_Fix32, <=11.1_Fix7, <=10.15_Fix27, 11.1
Description
IBM webMethods API Gateway (on-prem) 10.11 through 10.11_Fix3210.15 to 10.15_Fix2711.1 to 11.1_Fix7 IBM webMethods API Management (on-prem) fails to properly validate user-supplied input passed to the url parameter on the /createapi endpoint. An attacker can modify this parameter to use a file:// URI schema instead of the expected https:// schema, enabling unauthorized arbitrary file read access on the underlying server file system.
Gravité et risque d'exploitation
CVE-2026-2606 obtient un score CVSS de 6.5/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.47 %, ce qui la place devant 39.3 % des CVE référencées.
Que faire ?
- Vérifiez si webMethods API Gateway (on-prem) (versions 10.11, 10.15, <=10.11_Fix32, <=11.1_Fix7, <=10.15_Fix27, 11.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.