CVE-2026-18541
ŚrednieCVSS 6.4Streszczenie
IBM Planning Analytics 2.0 i 2.1 jest podatny na trwały cross-site scripting (stored XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co zmienia zamierzone działanie aplikacji.
Ocena ryzyka
Może to prowadzić do ujawnienia poświadczeń w zaufanej sesji oraz innych ataków w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj IBM Planning Analytics do najnowszej wersji z poprawką oraz wdroż mechanizmy sanityzacji i kodowania danych wejściowych w interfejsie webowym.
Inne podatności w IBM Planning Analytics
Zobacz wszystkie- CVE-2026-85457Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora opartego na stosie.
- CVE-2026-75063Średnie
IBM Planning Analytics 2.0 i 2.1 zawiera podatność polegającą na niewłaściwym kodowaniu danych wyjściowych, co umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript.
- CVE-2026-75061Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na przemieszczanie się po katalogach systemu. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje 'dot dot' (/../) w celu zapisu dowolnych plików w systemie.
- CVE-2026-19627Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików hosta i nadpisywanie niektórych plików aplikacji z powodu nieprawidłowej walidacji ścieżek plików.
- CVE-2026-19622Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania i eskalację uprawnień z powodu nieprawidłowej walidacji pod-żądań.
- CVE-2026-19620Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu administracyjnego z powodu nieprawidłowego uwierzytelniania.
- CVE-2026-17475Wysokie
IBM Planning Analytics w wersjach 2.0 i 2.1 zawiera błąd kontroli dostępu na poziomie funkcjonalnym. Uwierzytelniony zdalny atakujący może usuwać foldery i aplikacje należące do innych użytkowników.
- CVE-2019-4716KrytyczneAktywnie exploitowane
IBM Planning Analytics 2.0.0 do 2.0.8 jest podatny na nadpisanie konfiguracji, co pozwala nieuwierzytelnionemu użytkownikowi zalogować się jako 'admin', a następnie wykonać kod jako root lub SYSTEM poprzez skrypty TM1. IBM X-Force ID: 172094.
- CVE-2026-13365Wysokie
IBM Planning Analytics 2.0 i 2.1 Local jest podatny na atak typu cross-site request forgery (CSRF), który może pozwolić atakującemu na wykonanie złośliwych i nieautoryzowanych działań transmitowanych od użytkownika, któremu witryna ufa.
Oryginalny opis (angielski, źródło NVD)
IBM Planning Analytics 2.0, and 2.1 is vulnerable to stored cross-site scripting. This vulnerability allows an authenticated user to embed arbitrary JavaScript code in the Web UI thus altering the intended functionality potentially leading to credentials disclosure within a trusted session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS