📅 09 Juillet 2026

IBM a publié un nouveau bulletin de sécurité concernant IBM Rational Developer for i, son environnement de développement destiné aux applications IBM i.

Ce bulletin regroupe plusieurs vulnérabilités affectant des composants tiers utilisés par la solution, notamment la bibliothèque JavaScript Axios, la bibliothèque Java Plexus-utils, ainsi que certains composants liés à l’environnement Java.

Les failles identifiées concernent principalement la gestion des requêtes HTTP, la manipulation d’objets JavaScript, les contrôles d’accès réseau ainsi que le traitement de fichiers et de données entrantes.

Certaines de ces vulnérabilités peuvent avoir un impact significatif sur la sécurité des applications utilisant ces composants. La faille la plus critique identifiée atteint un score CVSS de 10.0, nécessitant une attention particulière lors de la planification des mises à jour.

---

🔍 Analyse des vulnérabilités critiques

🔥 CVE-2026-42043 – Contournement de la protection NO_PROXY dans Axios (CVSS 10 !!)

Cette vulnérabilité affecte la gestion des règles réseau NO_PROXY dans Axios, une bibliothèque largement utilisée pour les communications HTTP des applications JavaScript.

Avec un score CVSS de 10.0 sur 10, il s’agit du niveau de gravité maximal de l’échelle CVSS. Cette faille doit être considérée comme une priorité de correction immédiate dans les environnements concernés.

Un attaquant capable d’influencer l’adresse cible d’une requête peut contourner les protections liées à la configuration proxy et accéder à des ressources internes normalement inaccessibles. L’exploitation de cette vulnérabilité peut entraîner une exposition de services internes ou de données sensibles, notamment dans les architectures cloud, hybrides ou disposant de droits réseau élevés.

Cette CVE représente la menace la plus critique de ce bulletin IBM en raison de son score maximal et de son potentiel d’impact sur la sécurité des applications.

🔥 CVE-2026-42044 – Modification de réponses API via Prototype Pollution Axios

Score CVSS : 9.1 – Criticité élevée

Cette vulnérabilité permet, dans certaines conditions, de modifier le comportement du traitement des réponses JSON retournées par les applications utilisant Axios.

Un attaquant exploitant cette faiblesse pourrait altérer certaines données applicatives, contourner des contrôles d’autorisation ou influencer la logique métier d’une application.

Cette faille représente un risque important pour les applications manipulant des données sensibles ou des mécanismes d’authentification.

🔥 CVE-2025-67030 – Directory Traversal dans Plexus-utils

Score CVSS : 8.8 – Criticité élevée

Une vulnérabilité de type Path Traversal affecte Plexus-utils lors du traitement de fichiers compressés.

Un attaquant pourrait exploiter cette faiblesse pour accéder à des fichiers situés en dehors des répertoires autorisés, avec un risque potentiel d’exposition ou de modification de données sensibles.

⚠️ CVE-2026-42038 – Server-Side Request Forgery (SSRF) dans Axios

Score CVSS : 7.5 – Criticité élevée

Cette vulnérabilité concerne la gestion des exceptions réseau liées aux règles NO_PROXY dans Axios.

Elle peut permettre à un attaquant de forcer une application à effectuer des requêtes vers des ressources internes normalement protégées, exposant potentiellement des services ou informations non accessibles publiquement.

🔎 Autres vulnérabilités corrigées

Le bulletin IBM corrige également plusieurs vulnérabilités supplémentaires affectant Axios.

Certaines concernent la gestion des tailles de données transmises ou reçues, avec des risques de consommation excessive de ressources (CVE-2026-42034 et CVE-2026-42036, CVSS 5.3).

D’autres concernent la manipulation de contenus HTTP, notamment des risques d’injection d’en-têtes ou de données multipart (CVE-2026-42035 et CVE-2026-42037, CVSS respectifs de 7.4 et 5.3).

IBM corrige également plusieurs problèmes liés aux mécanismes de sécurité applicative d’Axios :

• CVE-2026-42041 (CVSS 6.5) pouvant permettre de contourner certains contrôles liés aux réponses HTTP ;
• CVE-2026-42042 (CVSS 5.4) affectant la gestion des protections XSRF ;
• CVE-2026-42040 (CVSS 3.7) concernant un problème d’encodage de données.

Enfin, deux vulnérabilités concernent l’environnement Java utilisé par certains composants :

• CVE-2026-23865 (CVSS 5.3) affectant une bibliothèque de traitement de polices avec un risque de lecture mémoire hors limites ;
• CVE-2026-22013 (CVSS 5.3) concernant un problème de sécurité lié au client Kerberos Java.

---

🛠️ Correctif et recommandations

IBM recommande vivement d’appliquer les correctifs associés à ce bulletin afin de sécuriser les environnements concernés.

Les composants vulnérables, notamment Axios, doivent être mis à jour vers les versions corrigées recommandées par IBM. Une vérification des applications utilisant ces dépendances est également conseillée afin d’identifier les éventuelles expositions.

Il est recommandé de contrôler les mécanismes de validation des entrées, les communications HTTP sortantes ainsi que les configurations réseau des applications concernées.

Les correctifs IBM et les éventuelles PTF associées seront détaillés dans la documentation officielle du bulletin.

---

📌 Conclusion

Ce bulletin IBM contient plusieurs vulnérabilités affectant des composants utilisés par IBM Rational Developer for i, dont certaines présentent un niveau de criticité élevé.

L’application des correctifs liés aux CVE-2026-42043 et CVE-2026-42044 doit être traitée en priorité afin de limiter les risques d’exposition ou de compromission.

---

🔗 Lien officiel IBM Security Bulletin 🔗

⚡Agissez maintenant pour sécuriser votre environnement IT avec STR-iCT !

---

🔐 Restez informé sur les dernières alertes cybersécurité !