CVE-2015-7465
WysokieStreszczenie
Podatność CSRF w Lifecycle Query Engine (LQE) w IBM Jazz Reporting Service (JRS) 6.0 przed wersją 6.0.0-Rational-CLM-ifix005 umożliwia zdalnym uwierzytelnionym użytkownikom przejęcie autoryzacji dowolnych użytkowników dla żądań, które wstawiają sekwencje XSS.
Ocena ryzyka
Organizacja może być narażona na ataki, które pozwalają na przejęcie sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji systemu.
Rekomendacja
Zaleca się aktualizację do wersji 6.0.0-Rational-CLM-ifix005 lub nowszej, aby zniwelować tę podatność.
Inne podatności w IBM Jazz Reporting Service (JRS) 6.0
Zobacz wszystkie- CVE-2016-2889Wysokie
Podatność CSRF w Report Builder i Data Collection Component (DCC) w IBM Jazz Reporting Service (JRS) umożliwia zdalnym uwierzytelnionym użytkownikom przejęcie sesji autoryzacyjnej innych użytkowników. Dotyczy to wersji 5.x przed 5.0.2 ifix016, 6.0 oraz 6.0.1 przed 6.0.1 ifix005, a także 6.0.2 przed ifix002.
- CVE-2015-7464Wysokie
Report Builder w IBM Jazz Reporting Service (JRS) w wersjach 5.x przed 5.0.2-Rational-CLM-ifix011 oraz 6.0 przed 6.0.0-Rational-CLM-ifix005 jest podatny na atak, który może prowadzić do awarii serwera Report Builder poprzez specjalnie przygotowane żądanie do URL instancji Report Builder.
- CVE-2015-7470Wysokie
Report Builder w IBM Jazz Reporting Service (JRS) w wersjach 5.x przed 5.0.2-Rational-CLM-ifix011 oraz 6.0 przed 6.0.0-Rational-CLM-ifix005 jest podatny na ataki typu man-in-the-middle, co pozwala na uzyskanie wrażliwych informacji, w tym danych logowania.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in Lifecycle Query Engine (LQE) in IBM Jazz Reporting Service (JRS) 6.0 before 6.0.0-Rational-CLM-ifix005 allows remote authenticated users to hijack the authentication of arbitrary users for requests that insert XSS sequences.