CVE-2026-13772
Publiée le 2026-06-30 · Dernière modification le 2026-10-25
IBM WebSphere Extreme Scale (versions 8.6.1.0 à 8.6.1.6) est affecté par une faille dans son moteur de requête qui permet l'exécution de code à distance. Un attaquant disposant d'identifiants d'utilisateur de bas niveau peut déclencher l'exécution de code arbitraire sur le serveur s'il peut influencer les chaînes de requête OQL utilisées par une application. Bien que l'attaque nécessite une authentification et soit techniquement complexe à exécuter, elle permet un contrôle total sur la confidentialité, l'intégrité et la disponibilité du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
IBM WebSphere Extreme Scale 8.6.1.0 through 8.6.1.6 's Object Query Language engine resolves attacker-supplied class names via Class.forName() and invokes their constructors with no allow-list at three distinct sinks (SELECT NEW, enum literals, and reflection-based comparators); an authenticated remote attacker who can influence an application-built OQL query string can execute arbitrary constructors on the WAS JVM, and a SELECT DISTINCT variant using planted grid values fires the same gadget post-readObject in a manner that survives JEP-290 serialization filters across grid node boundaries