IBM DataPower Gateway: Cross-Site-Scripting in der Web-Oberfläche

Zusammenfassung

IBM DataPower Gateway in den Versionen 10.6.0.0 bis 10.6.0.10 enthält eine Cross-Site-Scripting-Schwachstelle in der Web-Oberfläche. Ein nicht authentifizierter Angreifer kann beliebigen JavaScript-Code einbetten, wodurch die vorgesehene Funktionalität der Oberfläche verändert und möglicherweise Zugangsdaten innerhalb einer vertrauenswürdigen Administrationssitzung offengelegt werden können. IBM bewertet die Lücke mit CVSS 9.3 (Critical); die Komponente Benutzerinteraktion (UI:R) bedeutet, dass ein Opfer aktiv werden muss, etwa indem es einen präparierten Link öffnet.

Betroffen

• IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10

Behoben in

• Aktualisierung auf IBM DataPower Gateway 10.6.0.11 oder neuer

Umgehung

• Keine offizielle Workaround-Massnahme durch IBM dokumentiert.
• Drittanbieter-Empfehlung: DataPower Gateway in ein segmentiertes VLAN platzieren, um seitliche Bewegungen zu begrenzen (nicht vom Hersteller validiert).

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Auf 10.6.0.11 aktualisieren, so rasch wie möglich, wie von IBM dringend empfohlen.
• Prüfen, ob die Web-Oberfläche eines DataPower-Systems aus dem Internet erreichbar ist, und den Zugriff bis zur Aktualisierung auf Managementnetze oder ein VPN beschränken.
• Administrationssitzungen überprüfen und auf unerwartetes Verhalten der Web-Oberfläche achten.
• Prüfen, ob 10.6.0.x im Einsatz ist; andere Versionszweige werden in separaten Advisories behandelt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• IBM Security Bulletin CVE-2026-14990 www.ibm.com
• IBM Security Bulletin (full advisory) www.ibm.com
• VulDB entry 415399 vuldb.com
• Strix CVE record www.strix.ai
• SecurityOnline advisory overview securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:01.