Podatności IBM Cognos Analytics

IBM Cognos Analytics (wersje 12.1.0 do 12.1.3 FP1 oraz 12.0.4 do 12.0.4 FP2) przechowuje poufne informacje w kodzie źródłowym, które mogą zostać wykorzystane przez uwierzytelnionego użytkownika w dalszych atakach na system.

IBM Cognos Analytics w wersjach od 12.1.0 do 12.1.3 FP1 oraz od 12.0.4 do 12.0.4 FP2 może pozwolić atakującemu w współdzielonej sieci na uzyskanie informacji wrażliwych z powodu niezabezpieczonej komunikacji sieciowej.

IBM Cognos Analytics w wersjach 12.0.4 do 12.0.4 FP2 oraz 12.1.0 do 12.1.3 FP1 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowego włączenia HTTP Strict Transport Security.

IBM Cognos Analytics 12.1.0 do 12.1.3 FP1 oraz 12.0.4 do 12.0.4 FP2 umożliwia nieuprzywilejowanemu użytkownikowi edycję imienia i nazwiska z wstrzyknięciem złośliwego kodu JavaScript. Gdy administrator później otworzy panel zarządzania użytkownikami i wyświetli uprawnienia tego użytkownika, kod JavaScript zostanie wykonany, co może naruszyć ciasteczka administratora.

Podatność w IBM Cognos Analytics 12.1.3 (do wersji 12.1.3-2606251736) wynika z wyścigu w logice asystenta AI Agentic podczas równoczesnego przetwarzania żądań od wielu uwierzytelnionych użytkowników. Może to prowadzić do uzyskania nieprawidłowych podsumowań raportów lub do awarii przetwarzania raportów.

IBM Cognos Analytics (wersje 11.2.0, 12.0, 12.1.0) oraz IBM Cognos Transformer (wersje 12.0, 11.2.4, 12.1.0) są podatne na trwałe XSS w panelu administracyjnym. Uprzywilejowany użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia poświadczeń w zaufanej sesji.

IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 oraz 11.2.1 jest podatny na atak typu server-side request forgery (SSRF). Umożliwia to uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do enumeracji sieci lub ułatwienia innych ataków.

IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 i 11.2.1 może pozwolić zdalnemu atakującemu na uzyskanie informacji o systemie bez uwierzytelnienia, co może być wykorzystane do zbierania danych do przyszłych ataków.