CVE-2026-15995
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Podatność w IBM Cognos Analytics 12.1.3 (do wersji 12.1.3-2606251736) wynika z wyścigu w logice asystenta AI Agentic podczas równoczesnego przetwarzania żądań od wielu uwierzytelnionych użytkowników. Może to prowadzić do uzyskania nieprawidłowych podsumowań raportów lub do awarii przetwarzania raportów.
Ocena ryzyka
Organizacja narażona jest na ryzyko uzyskania fałszywych wyników raportów, co może skutkować błędnymi decyzjami biznesowymi, oraz na przerwy w działaniu systemu raportowania, wpływające na ciągłość operacji.
Rekomendacja
Zaleca się natychmiastową aktualizację IBM Cognos Analytics do wersji nowszej niż 12.1.3-2606251736, która zawiera poprawkę eliminującą warunek wyścigu. Należy również rozważyć ograniczenie liczby równoczesnych żądań do asystenta AI.
Inne podatności w IBM Cognos Analytics
Zobacz wszystkie- CVE-2025-36076Średnie
IBM Cognos Analytics (wersje 12.1.0 do 12.1.3 FP1 oraz 12.0.4 do 12.0.4 FP2) przechowuje poufne informacje w kodzie źródłowym, które mogą zostać wykorzystane przez uwierzytelnionego użytkownika w dalszych atakach na system.
- CVE-2025-33147Średnie
IBM Cognos Analytics w wersjach od 12.1.0 do 12.1.3 FP1 oraz od 12.0.4 do 12.0.4 FP2 może pozwolić atakującemu w współdzielonej sieci na uzyskanie informacji wrażliwych z powodu niezabezpieczonej komunikacji sieciowej.
- CVE-2024-56344Średnie
IBM Cognos Analytics w wersjach 12.0.4 do 12.0.4 FP2 oraz 12.1.0 do 12.1.3 FP1 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowego włączenia HTTP Strict Transport Security.
- CVE-2026-7884Średnie
IBM Cognos Analytics 12.1.0 do 12.1.3 FP1 oraz 12.0.4 do 12.0.4 FP2 umożliwia nieuprzywilejowanemu użytkownikowi edycję imienia i nazwiska z wstrzyknięciem złośliwego kodu JavaScript. Gdy administrator później otworzy panel zarządzania użytkownikami i wyświetli uprawnienia tego użytkownika, kod JavaScript zostanie wykonany, co może naruszyć ciasteczka administratora.
- CVE-2025-36126Średnie
IBM Cognos Analytics (wersje 11.2.0, 12.0, 12.1.0) oraz IBM Cognos Transformer (wersje 12.0, 11.2.4, 12.1.0) są podatne na trwałe XSS w panelu administracyjnym. Uprzywilejowany użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
- CVE-2023-35011Średnie
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 oraz 11.2.1 jest podatny na atak typu server-side request forgery (SSRF). Umożliwia to uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do enumeracji sieci lub ułatwienia innych ataków.
- CVE-2023-35009Średnie
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 i 11.2.1 może pozwolić zdalnemu atakującemu na uzyskanie informacji o systemie bez uwierzytelnienia, co może być wykorzystane do zbierania danych do przyszłych ataków.
Oryginalny opis (angielski, źródło NVD)
IBM Cognos Analytics 12.1.3 GA Version with build number through 12.1.3-2606251736 could allow an attacker to obtain incorrect report summary results or cause report-processing failures due to a race condition in the Agentic AI assistant's concurrent request-handling logic when multiple authenticated users submit report-related tasks simultaneously.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS