CVE-2026-81210

Nome do Software Vulnerável e Versões Afetadas IBM DataStage on Cloud Pak for Data versão 5.4.0.0

Descrição O software concatena três strings fornecidas pelo usuário em um caminho String.format no PVC (Persistent Volume Claim) RWX compartilhado /ds-storage, que é um recurso de armazenamento compartilhado entre pods. Isso resulta em uma Referência Direta Insegura a Objeto (IDOR) e travessia de caminho (path traversal), permitindo o retorno de arquivos sem a verificação da Lista de Controle de Acesso (ACL) do projeto. Embora o acesso de leitura seja limitado a arquivos nomeados como job.log e error.log, esses logs frequentemente contêm informações sensíveis, como strings de conexão, amostras de linhas de dados de clientes e textos cifrados {dsnextenc}. Isso cria um risco de vazamento de dados entre locatários (tenant-to-tenant).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.