CVE-2025-36357CVE-2025-36357是IBM Planning Analytics Local中的一个高危路径遍历漏洞。该漏洞影响版本2.1.0至2.1.14，允许经过身份验证的远程攻击者通过构造包含绝对路径序列的特制URL请求来遍历系统目录。攻击者可以利用此漏洞查看、读取或写入目标系统上的任意文件，从而可能导致敏感信息泄露、配置文件被篡改或进一步的攻击。由于该漏洞需要低权限用户身份且需要用户交互，CVSS评分达到8.0，属于高危漏洞。攻击向量为网络形式，攻击复杂度较低，但需要利用特殊构造的路径序列进行目录遍历。
该漏洞是典型的路径遍历（Directory Traversal）漏洞，存在于IBM Planning Analytics Local的Web接口中。漏洞根源在于应用程序未能正确验证和清理用户输入的路径参数。攻击者通过在URL请求中插入路径遍历序列（如../或绝对路径），可以绕过安全限制访问系统任意文件。在IBM Planning Analytics Local 2.1.0至2.1.14版本中，攻击者可以利用包含绝对路径序列的特制URL请求，实现目录遍历攻击。成功利用后，攻击者可以读取敏感配置文件、密码文件、应用程序代码等，甚至可以通过写入操作实现远程代码执行。此漏洞需要攻击者具备低权限用户账号，并通过诱导合法用户点击恶意链接或访问特制页面来触发攻击。