CVE-2025-36357
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
IBM Planning Analytics Local w wersjach od 2.1.0 do 2.1.14 umożliwia zdalnemu uwierzytelnionemu użytkownikowi przeglądanie katalogów na systemie. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające ścieżki bezwzględne, aby przeglądać, czytać lub zapisywać dowolne pliki na systemie.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do wrażliwych plików, zmodyfikować je lub zapisać nowe, co może prowadzić do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Zaktualizuj IBM Planning Analytics Local do wersji nowszej niż 2.1.14, jeśli dostępna jest poprawka, lub zastosuj inne środki zaradcze zalecane przez producenta.
Inne podatności w IBM Planning Analytics Local
Zobacz wszystkie- CVE-2026-10545Wysokie
IBM Planning Analytics Local w wersjach 2.1.0 do 2.1.21 jest podatny na otwarte przekierowanie (open redirect). Atakujący może przekierować użytkowników na dowolne zewnętrzne strony za pomocą spreparowanego URL. W przypadku użycia w przepływach uwierzytelniania SSO może to prowadzić do ujawnienia tokenów sesji i przejęcia sesji użytkownika.
- CVE-2025-36299Średnie
IBM Planning Analytics Local 2.1.0 do 2.1.14 przechowuje wrażliwe informacje w kodzie źródłowym, co może zostać wykorzystane w dalszych atakach na system.
Oryginalny opis (angielski, źródło NVD)
IBM Planning Analytics Local 2.1.0 through 2.1.14 could allow a remote authenticated user to traverse directories on the system. An attacker could send a specially crafted URL request containing absolute path sequences to view, read, or write arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS