Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-17190

IBM API Connect ürününde siteler arası betik çalıştırma (XSS) açığı

IBM API Connect

Yüksek 8,7 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, API yönetim platformunun kullanıcılarını hedef alabilecek ciddi bir güvenlik riskidir ve yüksek öncelikle ele alınmalıdır. Saldırganın kimlik doğrulaması yapmış olması gerekir ancak etkisi kullanıcı hesaplarını ve verileri tehlikeye atabilir. Güncelleme yapılması, iş sürekliliği ve veri güvenliği açısından hızlı aksiyon gerektirir.

ÖzetTürkçe

IBM API Connect'in 10.0.8.0–10.0.8.12 ve 12.1.0.0–12.1.1.2 sürümlerinde, sağlayıcı tarafından sunulan HTML içeriği yeterince temizlenmeden görüntüleniyor. Bu durum, kimliği doğrulanmış uzak bir saldırganın kullanıcının tarayıcısında keyfi JavaScript çalıştırmasına olanak tanıyor. Açık, API Connect kullanan tüm kurumları etkiliyor.

Saldırgan ne yapabilir?

Saldırgan, hedef kullanıcının tarayıcısında betik çalıştırarak oturum bilgilerini ele geçirebilir veya arayüzde işlem yaptırabilir. Yüksek gizlilik ve bütünlük etkisi beklenmektedir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow a remote authenticated attacker to execute arbitrary JavaScript due to cross-site scripting. HTML content supplied by a provider is not sufficiently sanitized before it is displayed, which could allow script content to run in the user's browser.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

IBM strongly recommends addressing the vulnerability now by upgrading to 10.0.8.13Fix Central Link: https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%7EWebSphere&product=ibm/WebSphere/IBM+API+Connect&release=10.0.8.12&platform=All&function=all

Ne yapmalı?

  1. IBM'in önerisi doğrultusunda 12.1 dalındaki sürümleri 12.1.1.3 sürümüne, 10.0.8 dalındaki sürümleri ise 10.0.8.13 sürümüne yükseltin. Üretici
  2. Güncelleme öncesinde ortamınızdaki API Connect sürümünü kontrol edin ve etkilenen aralıkta olup olmadığınızı doğrulayın. Genel öneri
  3. Güncelleme uygulanana kadar sağlayıcı rollerine yalnızca güvenilir kullanıcılara erişim verin ve yetkisiz hesap oluşturulmasını engelleyin. Genel öneri

Ek önlemler

  • Sağlayıcı tarafından girilen HTML içeriğini ve yönetim arayüzündeki alanları düzenli olarak denetleyin. Genel öneri
  • Kullanıcı tarayıcılarında Content Security Policy gibi betik kaynaklarını kısıtlayan güvenlik başlıklarının kullanılmasını değerlendirin. Genel öneri
  • Yönetim paneline yapılan olağandışı erişimleri ve şüpheli içerik değişikliklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –
≥ 10.0.8.0, ≤ 10.0.8.12 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.