CVE-2024-23578
ŚrednieCVSS 4.2Streszczenie
Podatność w HCL Aftermarket EPC wynika z nieprawidłowej konfiguracji polityki CORS, która zezwala na dostęp z dowolnej domeny (symbol wieloznaczny '*'). Umożliwia to atakującym wykonywanie żądań międzyoriginowych z zewnętrznych stron.
Ocena ryzyka
Organizacja narażona jest na kradzież danych lub nieautoryzowane operacje, ponieważ atakujący może wysyłać żądania w imieniu uwierzytelnionego użytkownika z dowolnej domeny.
Rekomendacja
Należy skonfigurować politykę CORS tak, aby zezwalać na dostęp tylko z zaufanych domen, a nie ze wszystkich domen (*).
Inne podatności w HCL Aftermarket EPC
Zobacz wszystkie- CVE-2024-42214Średnie
Podatność w HCL Aftermarket EPC wynika z włączenia metody HTTP OPTIONS na serwerze WWW. Metoda ta ujawnia listę obsługiwanych metod HTTP, co umożliwia atakującemu zawężenie i zintensyfikowanie ataków.
- CVE-2024-23577Średnie
Podatność w HCL Aftermarket EPC wynika z braku walidacji nagłówka HOST w żądaniach HTTP, co pozwala na akceptowanie dowolnych hostów. Może to prowadzić do zatrucia nagłówka hosta oraz błędnych konfiguracji serwera.
- CVE-2024-23575Średnie
Podatność w HCL Aftermarket EPC polega na zwracaniu szczegółowych komunikatów błędów, które ujawniają informacje o przetwarzaniu na serwerze. Atakujący może wykorzystać te informacje do przeprowadzenia bardziej precyzyjnego ataku.
- CVE-2024-23574Średnie
Podatność w HCL Aftermarket EPC umożliwia atakującemu stosowanie technik brute-force w celu odgadnięcia lub potwierdzenia istnienia prawidłowych użytkowników w systemie. Atak ten może prowadzić do naruszenia poufności danych poprzez identyfikację kont użytkowników.
- CVE-2024-23573Niskie
Podatność Lucky 13 w HCL Aftermarket EPC umożliwia atak typu man-in-the-middle na protokoły TLS 1.1, 1.2, DTLS 1.0/1.2 oraz starsze SSL 3.0 i TLS 1.0. Atakujący może wykorzystać tę lukę do odszyfrowania ruchu sieciowego.
- CVE-2024-23572Średnie
Podatność w HCL Aftermarket EPC wynika z przechowywania tokena sesji w ciasteczku, co zwiększa ryzyko ataku. Należy przeanalizować zawartość ciasteczka, aby określić jego funkcję.
- CVE-2024-23571Średnie
Podatność w HCL Aftermarket EPC wynika z braku odpowiedniej polityki buforowania, co pozwala na przechowywanie wrażliwych danych w lokalnej pamięci podręcznej. Inni użytkownicy mający dostęp do tego samego komputera mogą później odczytać te dane.
- CVE-2024-23570Średnie
HCL Aftermarket EPC zawiera podatność na clickjacking (Cross-Frame Scripting), która pozwala atakującemu załadować podatną aplikację w ramce iFrame na złośliwej stronie. Atakujący może następnie przeprowadzić atak typu clickjacking, prowadzący do phishingu, fałszowania żądań między witrynami (CSRF), wycieku poufnych informacji i innych zagrożeń.
- CVE-2024-23569Średnie
Brak nagłówka X-XSS-Protection w serwerze HCL Aftermarket EPC umożliwia potencjalne ataki typu Cross-Site Scripting (XSS). Podatność ta wynika z nieprawidłowej konfiguracji zabezpieczeń HTTP.
- CVE-2024-23568Średnie
Podatność w HCL Aftermarket EPC ujawnia wersję oprogramowania serwera WWW, co pozwala atakującemu na identyfikację potencjalnych luk w zabezpieczeniach, szczególnie jeśli używana jest przestarzała wersja z opublikowanymi podatnościami.
Oryginalny opis (angielski, źródło NVD)
HCL Aftermarket EPC is vulnerable to attack as the application implements an HTML5 cross-origin resource sharing (CORS) policy for this request that allows access from any domain (*-Wildcard).