CVE-2025-36422IBM InfoSphere Information Server 11.7.0.0 至 11.7.1.6 版本中的 DataStage Flow Designer 组件存在跨站请求伪造（CSRF）漏洞。由于该应用未能充分验证HTTP请求的来源，远程攻击者可诱导已认证用户访问恶意链接或网页。一旦用户触发，攻击者即可利用受害者的会话权限在受信任的网站上执行未授权的恶意操作，可能导致数据被篡改或系统配置被更改。
该漏洞源于 IBM InfoSphere DataStage Flow Designer 在处理关键业务请求时，缺乏足够的跨站请求伪造防护机制（如CSRF Token或Referer源校验）。攻击者首先通过分析目标系统的正常业务逻辑，构造出包含恶意操作参数的HTTP请求（如修改配置、删除数据等）。随后，攻击者将此请求封装在HTML页面中（例如通过自动提交的表单或JavaScript请求），并诱导受害者访问。由于受害者的浏览器中存有有效的Session Cookie，当请求发送至服务器时，服务器会误认为该请求是受害者本人发起的合法操作，从而执行相应的业务逻辑。整个过程无需攻击者获取用户的凭据，仅需利用用户的浏览器环境即可绕过授权检查。