CVE-2025-36126
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
IBM Cognos Analytics (wersje 11.2.0, 12.0, 12.1.0) oraz IBM Cognos Transformer (wersje 12.0, 11.2.4, 12.1.0) są podatne na trwałe XSS w panelu administracyjnym. Uprzywilejowany użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
Ocena ryzyka
Ryzyko ujawnienia poświadczeń administratora lub innych uprzywilejowanych użytkowników, co może skutkować przejęciem kontroli nad systemem raportowania.
Rekomendacja
Zaleca się aktualizację IBM Cognos Analytics i Cognos Transformer do wersji zawierających poprawki bezpieczeństwa oraz ograniczenie uprawnień użytkowników.
Inne podatności w IBM Cognos Analytics
Zobacz wszystkie- CVE-2026-15995Średnie
Podatność w IBM Cognos Analytics 12.1.3 (do wersji 12.1.3-2606251736) wynika z wyścigu w logice asystenta AI Agentic podczas równoczesnego przetwarzania żądań od wielu uwierzytelnionych użytkowników. Może to prowadzić do uzyskania nieprawidłowych podsumowań raportów lub do awarii przetwarzania raportów.
- CVE-2023-35011Średnie
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 oraz 11.2.1 jest podatny na atak typu server-side request forgery (SSRF). Umożliwia to uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do enumeracji sieci lub ułatwienia innych ataków.
- CVE-2023-35009Średnie
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 i 11.2.1 może pozwolić zdalnemu atakującemu na uzyskanie informacji o systemie bez uwierzytelnienia, co może być wykorzystane do zbierania danych do przyszłych ataków.
Oryginalny opis (angielski, źródło NVD)
IBM Cognos Analytics 11.2.0, 12.0, and 12.1.0 and IBM Cognos Transformer 12.0, 11.2.4, and 12.1.0 is vulnerable to stored cross-site scripting (XSS) in Cognos Adminstration. This vulnerability allows a privileged user to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.