CVE-2026-7884
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
IBM Cognos Analytics 12.1.0 do 12.1.3 FP1 oraz 12.0.4 do 12.0.4 FP2 umożliwia nieuprzywilejowanemu użytkownikowi edycję imienia i nazwiska z wstrzyknięciem złośliwego kodu JavaScript. Gdy administrator później otworzy panel zarządzania użytkownikami i wyświetli uprawnienia tego użytkownika, kod JavaScript zostanie wykonany, co może naruszyć ciasteczka administratora.
Ocena ryzyka
Atak może prowadzić do przejęcia sesji administratora i nieautoryzowanego dostępu do systemu.
Rekomendacja
Zastosuj poprawki od IBM oraz rozważ ograniczenie możliwości edycji pól przez użytkowników.
Inne podatności w IBM Cognos Analytics
Zobacz wszystkie- CVE-2025-36076Średnie
IBM Cognos Analytics (wersje 12.1.0 do 12.1.3 FP1 oraz 12.0.4 do 12.0.4 FP2) przechowuje poufne informacje w kodzie źródłowym, które mogą zostać wykorzystane przez uwierzytelnionego użytkownika w dalszych atakach na system.
- CVE-2025-33147Średnie
IBM Cognos Analytics w wersjach od 12.1.0 do 12.1.3 FP1 oraz od 12.0.4 do 12.0.4 FP2 może pozwolić atakującemu w współdzielonej sieci na uzyskanie informacji wrażliwych z powodu niezabezpieczonej komunikacji sieciowej.
- CVE-2024-56344Średnie
IBM Cognos Analytics w wersjach 12.0.4 do 12.0.4 FP2 oraz 12.1.0 do 12.1.3 FP1 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowego włączenia HTTP Strict Transport Security.
- CVE-2026-15995Średnie
Podatność w IBM Cognos Analytics 12.1.3 (do wersji 12.1.3-2606251736) wynika z wyścigu w logice asystenta AI Agentic podczas równoczesnego przetwarzania żądań od wielu uwierzytelnionych użytkowników. Może to prowadzić do uzyskania nieprawidłowych podsumowań raportów lub do awarii przetwarzania raportów.
- CVE-2025-36126Średnie
IBM Cognos Analytics (wersje 11.2.0, 12.0, 12.1.0) oraz IBM Cognos Transformer (wersje 12.0, 11.2.4, 12.1.0) są podatne na trwałe XSS w panelu administracyjnym. Uprzywilejowany użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia poświadczeń w zaufanej sesji.
- CVE-2023-35011Średnie
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 oraz 11.2.1 jest podatny na atak typu server-side request forgery (SSRF). Umożliwia to uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do enumeracji sieci lub ułatwienia innych ataków.
- CVE-2023-35009Średnie
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 i 11.2.1 może pozwolić zdalnemu atakującemu na uzyskanie informacji o systemie bez uwierzytelnienia, co może być wykorzystane do zbierania danych do przyszłych ataków.
Oryginalny opis (angielski, źródło NVD)
IBM Cognos Analytics 12.1.0 through 12.1.3 FP1, and 12.0.4 through 12.0.4 FP2 allows a non-privileged user to edit their given name and surname to include malicious JavaScript code. When an administrator later accesses the user account management panel and views that user's permissions, the malicious JavaScript code is executed. This could result in the cookies from the administrator being compromised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS