CVE-2024-23567
ŚrednieCVSS 4.3Streszczenie
Podatność w HCL Aftermarket EPC powoduje przekazywanie wrażliwych danych przez parametry URL w metodzie GET. Te dane mogą być przechwycone i przechowywane w logach serwera, historii przeglądarki lub logach proxy.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych informacji, takich jak dane uwierzytelniające lub dane klientów, które mogą zostać ujawnione osobom nieupoważnionym poprzez dostęp do logów lub historii przeglądania.
Rekomendacja
Należy zmienić metodę przesyłania danych z GET na POST oraz unikać umieszczania wrażliwych danych w adresach URL. Dodatkowo zaleca się audyt logów i wdrożenie mechanizmów maskowania danych.
Inne podatności w HCL Aftermarket EPC
Zobacz wszystkie- CVE-2024-42214Średnie
Podatność w HCL Aftermarket EPC wynika z włączenia metody HTTP OPTIONS na serwerze WWW. Metoda ta ujawnia listę obsługiwanych metod HTTP, co umożliwia atakującemu zawężenie i zintensyfikowanie ataków.
- CVE-2024-23578Średnie
Podatność w HCL Aftermarket EPC wynika z nieprawidłowej konfiguracji polityki CORS, która zezwala na dostęp z dowolnej domeny (symbol wieloznaczny '*'). Umożliwia to atakującym wykonywanie żądań międzyoriginowych z zewnętrznych stron.
- CVE-2024-23577Średnie
Podatność w HCL Aftermarket EPC wynika z braku walidacji nagłówka HOST w żądaniach HTTP, co pozwala na akceptowanie dowolnych hostów. Może to prowadzić do zatrucia nagłówka hosta oraz błędnych konfiguracji serwera.
- CVE-2024-23575Średnie
Podatność w HCL Aftermarket EPC polega na zwracaniu szczegółowych komunikatów błędów, które ujawniają informacje o przetwarzaniu na serwerze. Atakujący może wykorzystać te informacje do przeprowadzenia bardziej precyzyjnego ataku.
- CVE-2024-23574Średnie
Podatność w HCL Aftermarket EPC umożliwia atakującemu stosowanie technik brute-force w celu odgadnięcia lub potwierdzenia istnienia prawidłowych użytkowników w systemie. Atak ten może prowadzić do naruszenia poufności danych poprzez identyfikację kont użytkowników.
- CVE-2024-23573Niskie
Podatność Lucky 13 w HCL Aftermarket EPC umożliwia atak typu man-in-the-middle na protokoły TLS 1.1, 1.2, DTLS 1.0/1.2 oraz starsze SSL 3.0 i TLS 1.0. Atakujący może wykorzystać tę lukę do odszyfrowania ruchu sieciowego.
- CVE-2024-23572Średnie
Podatność w HCL Aftermarket EPC wynika z przechowywania tokena sesji w ciasteczku, co zwiększa ryzyko ataku. Należy przeanalizować zawartość ciasteczka, aby określić jego funkcję.
- CVE-2024-23571Średnie
Podatność w HCL Aftermarket EPC wynika z braku odpowiedniej polityki buforowania, co pozwala na przechowywanie wrażliwych danych w lokalnej pamięci podręcznej. Inni użytkownicy mający dostęp do tego samego komputera mogą później odczytać te dane.
- CVE-2024-23570Średnie
HCL Aftermarket EPC zawiera podatność na clickjacking (Cross-Frame Scripting), która pozwala atakującemu załadować podatną aplikację w ramce iFrame na złośliwej stronie. Atakujący może następnie przeprowadzić atak typu clickjacking, prowadzący do phishingu, fałszowania żądań między witrynami (CSRF), wycieku poufnych informacji i innych zagrożeń.
- CVE-2024-23569Średnie
Brak nagłówka X-XSS-Protection w serwerze HCL Aftermarket EPC umożliwia potencjalne ataki typu Cross-Site Scripting (XSS). Podatność ta wynika z nieprawidłowej konfiguracji zabezpieczeń HTTP.
Oryginalny opis (angielski, źródło NVD)
HCL Aftermarket EPC is affected by Sensitive Information in GET method & in URL which allows application to pass sensitive data via URL parameters during normal usage. Data passed in this manner can be exposed because it may end up stored in unintended locations, including server logs, local browser history and proxy logs.