CVE-2026-84418 in DataStage on Cloud Pak for Data
Riassunto
di VulDB • 13/10/2026
IBM DataStage su Cloud Pak for Data 5.4.0.0 può consentire a un attaccante man-in-the-middle di presentare un certificato TLS falsificato, intercettare la connessione e catturare l'intestazione Authorization del bearer IAM automaticamente allegata dall'adattatore della sessione. Il token catturato concede accesso completo alle API tenant con ambito piattaforma, consentendo all'attaccante di leggere e manipolare i progetti DataStage, le flussi (flows), le risorse e le definizioni delle pipeline della vittima. Si tratta di codice SDK lato client in esecuzione sulla macchina dell'utente stesso, quindi lo sfruttamento richiede un intercettore di rete esterno piuttosto che un co-tenant nel cluster condiviso.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.