CVE-2026-75061
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na przemieszczanie się po katalogach systemu. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje 'dot dot' (/../) w celu zapisu dowolnych plików w systemie.
Ocena ryzyka
Atakujący może zapisywać dowolne pliki w systemie, co może prowadzić do modyfikacji danych lub instalacji złośliwego oprogramowania.
Rekomendacja
Zastosuj poprawki bezpieczeństwa od IBM i ogranicz dostęp do systemu tylko dla zaufanych użytkowników.
Inne podatności w IBM Planning Analytics
Zobacz wszystkie- CVE-2019-4716KrytyczneAktywnie exploitowane
IBM Planning Analytics 2.0.0 do 2.0.8 jest podatny na nadpisanie konfiguracji, co pozwala nieuwierzytelnionemu użytkownikowi zalogować się jako 'admin', a następnie wykonać kod jako root lub SYSTEM poprzez skrypty TM1. IBM X-Force ID: 172094.
- CVE-2026-76587Wysokie
IBM Planning Analytics w wersjach 2.0 i 2.1 zawiera podatność na przepełnienie bufora na stosie wynikające z nieprawidłowego sprawdzania granic. Atakujący może przepełnić bufor i wykonać dowolny kod w systemie.
- CVE-2026-85457Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu przepełnienia bufora opartego na stosie.
- CVE-2026-75063Średnie
IBM Planning Analytics 2.0 i 2.1 zawiera podatność polegającą na niewłaściwym kodowaniu danych wyjściowych, co umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript.
- CVE-2026-19627Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików hosta i nadpisywanie niektórych plików aplikacji z powodu nieprawidłowej walidacji ścieżek plików.
- CVE-2026-19622Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania i eskalację uprawnień z powodu nieprawidłowej walidacji pod-żądań.
- CVE-2026-19620Wysokie
IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu administracyjnego z powodu nieprawidłowego uwierzytelniania.
- CVE-2026-18541Średnie
IBM Planning Analytics 2.0 i 2.1 jest podatny na trwały cross-site scripting (stored XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co zmienia zamierzone działanie aplikacji.
- CVE-2026-17475Wysokie
IBM Planning Analytics w wersjach 2.0 i 2.1 zawiera błąd kontroli dostępu na poziomie funkcjonalnym. Uwierzytelniony zdalny atakujący może usuwać foldery i aplikacje należące do innych użytkowników.
- CVE-2026-13365Wysokie
IBM Planning Analytics 2.0 i 2.1 Local jest podatny na atak typu cross-site request forgery (CSRF), który może pozwolić atakującemu na wykonanie złośliwych i nieautoryzowanych działań transmitowanych od użytkownika, któremu witryna ufa.
Oryginalny opis (angielski, źródło NVD)
IBM Planning Analytics 2.0, and 2.1 could allow a remote attacker to traverse directories on the system. An attacker could send a specially crafted URL request containing "dot dot" sequences (/../) to write arbitrary files on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS