یک آسیب‌پذیری امنیتی با شناسه CVE-2026-8860 در نرم‌افزار IBM Security Verify Directory شناسایی شده است که می‌تواند منجر به افشای اعتبارنامه‌های کاربران شود.
جزئیات فنی آسیب‌پذیری
بر اساس گزارش‌های منتشر شده، نسخه‌های 10.0.0 تا 10.0.4 و همچنین نسخه 11.0.0 از IBM Verify Directory، درخواست‌های GET را برای فرآیند احراز هویت (Authentication) می‌پذیرند. این نقص طراحی باعث می‌شود که اطلاعات حساس مانند نام کاربری و رمز عبور به صورت URL parameters ارسال شوند.
پیامدهای امنیتی
ارسال اعتبارنامه‌ها از طریق متد GET منجر به خطرات جدی زیر می‌شود:
- Browser History: رمزهای عبور در تاریخچه مرورگر کاربر ذخیره شده و برای هر کسی که به سیستم دسترسی داشته باشد، قابل مشاهده است.
- Server Logs: تمامی درخواست‌های GET در لاگ‌های سرور (Server Logs) ثبت می‌شوند و در نتیجه، رمزهای عبور به صورت متن ساده (Plaintext) در فایل‌های لاگ ذخیره می‌گردند.
