CVE-2026-3303

Les versions 1.0 à 3.0.0 d'IBM Concert constituent une plateforme d'exploitation basée sur l'IA, utilisée pour la gestion d'environnements logiciels complexes. Le logiciel contient une erreur de configuration dans sa politique de partage de ressources cross-origin (CORS), qui ne parvient pas à restreindre les requêtes à un ensemble de domaines approuvés. Cela permet à un site web externe d'effectuer des requêtes non autorisées vers l'API de Concert au nom d'un utilisateur.

Un attaquant pourrait potentiellement dérober de petites quantités d'informations sensibles provenant de la session d'un utilisateur, ce qui affecterait la confidentialité. Toutefois, le risque est faible car l'attaque est techniquement difficile à exécuter et requiert un niveau de complexité élevé. Elle peut être tentée via le réseau sans authentification, mais elle ne permet pas à l'attaquant de modifier des données ou de faire planter le système.