CVE-2025-36320
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność na trwałe skrypty między witrynami (stored XSS) w IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0. Umożliwia uwierzytelnionemu użytkownikowi osadzenie dowolnego kodu JavaScript w interfejsie webowym, co może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości kradzieży poświadczeń użytkowników poprzez wykonanie złośliwego skryptu w przeglądarce ofiary, co może skutkować nieautoryzowanym dostępem do danych i systemów.
Rekomendacja
Zaleca się natychmiastową aktualizację IBM watsonx.data intelligence do najnowszej dostępnej wersji zawierającej poprawkę bezpieczeństwa oraz wdrożenie mechanizmów filtrowania wejścia i kodowania wyjścia w aplikacji.
Inne podatności w IBM watsonx.data intelligence
Zobacz wszystkie- CVE-2025-36336Średnie
IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 przesyła dane w postaci niezaszyfrowanego tekstu, co umożliwia atakującemu przechwycenie wrażliwych informacji za pomocą ataku typu man-in-the-middle.
- CVE-2025-36333Średnie
Podatność w IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 umożliwia uwierzytelnionemu użytkownikowi wykonanie nieautoryzowanych działań z powodu nieprawidłowego egzekwowania przepływu pracy.
- CVE-2025-36328Średnie
Podatność w IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez szczegółowe komunikaty błędów zwracane w przeglądarce. Informacje te mogą zostać wykorzystane w dalszych atakach na system.
- CVE-2025-36327Średnie
Podatność w IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 umożliwia uwierzytelnionemu użytkownikowi ominięcie kontroli bezpieczeństwa i wykonanie nieautoryzowanych działań z powodu egzekwowania zabezpieczeń po stronie klienta zamiast serwera.
- CVE-2025-36324Średnie
IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 jest podatny na fałszerstwo żądań po stronie serwera (SSRF). Uwierzytelniony atakujący może wysyłać nieautoryzowane żądania z systemu, co może prowadzić do skanowania sieci lub ułatwiać inne ataki.
- CVE-2025-36323Średnie
Podatność XSS w IBM watsonx.data intelligence umożliwia uwierzytelnionemu użytkownikowi osadzenie dowolnego kodu JavaScript w interfejsie webowym, co może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
- CVE-2025-36321Średnie
IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 jest podatny na wstrzykiwanie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa hostowanej witryny.
- CVE-2025-36319Średnie
Podatność w IBM watsonx.data intelligence w wersjach 5.2.0, 5.2.1, 5.2.2 i 5.3.0 umożliwia uwierzytelnionemu użytkownikowi wywołanie tymczasowej odmowy usługi poprzez specjalnie spreparowane żądanie HTTP. Problem wynika z nieprawidłowego przydziału ograniczeń zasobów.
- CVE-2025-12530Średnie
IBM watsonx.data intelligence w wersjach 5.2.2, 5.3.0, 5.3.1, 5.3.1 do Patch 1 przesyła dane w czystym tekście, co może pozwolić atakującemu na uzyskanie poufnych informacji przy użyciu technik man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
IBM watsonx.data intelligence 5.2.0, 5.2.1, 5.2.2, 5.3.0 is vulnerable to stored cross-site scripting. This vulnerability allows an authenticated user to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.