CVE-2026-13449: IBM Business Automation Manager Open Editions: injeção de entidade externa XML (XXE)
O IBM Business Automation Manager Open Editions é afetado por uma falha de injeção de entidade externa XML (XXE) que um atacante remoto poderia explorar para expor informações sensíveis ou consumir memória. O NVD atribui pontuação 9,1 (crítica) no CVSS 3.1, enquanto a CNA IBM atribui 7,6. O registro não traz versão corrigida nem indício de exploração confirmada no catálogo KEV da CISA.
Visão geral
A IBM publicou um aviso do fabricante para o CVE-2026-13449, uma fraqueza de injeção de entidade externa XML (XXE), classificada como CWE-611, no IBM Business Automation Manager Open Editions. O problema surge durante o processamento de dados XML. O registro do NVD atribui pontuação base CVSS 3.1 de 9.1, classificada como crítica.
Impacto
Segundo a descrição publicada, um atacante remoto poderia usar essa fraqueza para expor informações sensíveis ou consumir recursos de memória. O vetor do NVD indica alto impacto na confidencialidade, nenhum impacto na integridade e alto impacto na disponibilidade, sem exigir privilégios nem interação do usuário.
Produtos e versões afetados
- Produto: IBM Business Automation Manager Open Editions
- Intervalo na descrição publicada: 9.0.0 até 9.4.2
- Intervalo registrado nos dados de afetação: 9.0.0 ou superior e anterior a 9.5.0
Consulte o boletim de segurança da IBM para a lista oficial de versões afetadas.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. Os dados do EPSS presentes no registro indicam probabilidade de 0,00406 e percentil de 0,33041.
Correção e mitigação
O registro não informa nenhuma versão corrigida. Isso não significa que não exista correção. Os administradores devem consultar o boletim de segurança da IBM para orientações de correção, aplicar as atualizações fornecidas pelo fabricante assim que estiverem disponíveis e, enquanto isso, limitar a exposição de rede do serviço afetado. Restringir quais origens podem enviar XML ao produto e confirmar que a resolução de entidades externas e de DTD esteja desativada, quando o produto permitir, são medidas defensivas comuns contra falhas XXE, mas qualquer alteração de configuração deve ser validada antes na documentação do fabricante.
Orientações de detecção
- Analise os logs da aplicação e do servidor web em busca de requisições XML incomuns ao produto, especialmente as de tamanho ou estrutura inesperados.
- Monitore consumo anormal de memória, reinicializações repetidas do serviço ou queda de desempenho que possam indicar esgotamento de recursos.
- Acompanhe conexões de saída inesperadas a partir do servidor de aplicação, já que condições de XXE podem levar o servidor a buscar recursos externos.
Limitações das informações disponíveis
O registro não informa versões corrigidas, identificadores de correção nem os componentes e endpoints específicos envolvidos. Há duas pontuações CVSS 3.1: 9.1 do NVD e 7.6 da CNA. O registro também não traz título, portanto o título apresentado foi redigido para esta análise.
Perguntas frequentes
Qual é a gravidade do CVE-2026-13449?
O NVD atribui pontuação 9,1 no CVSS 3.1, classificada como crítica. A CNA IBM fornece outra pontuação CVSS 3.1, de 7,6.
Há exploração ativa desta CVE?
O catálogo KEV da CISA não a lista, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.