CVE-2025-31980

HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.

HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.

HCL BigFix Service Management jest dotknięty podatnością ujawniania informacji, ponieważ aplikacja zwraca wrażliwe informacje w komunikatach błędów, gdy nieprawidłowe dane wejściowe są wysyłane do niektórych punktów końcowych API. Informacje te mogą umożliwić atakującemu przeprowadzenie dalszych ataków.

HCL BigFix Service Management jest dotknięty podatnością na ujawnienie informacji, ponieważ wystawiony endpoint API ujawnia wrażliwe wewnętrzne informacje z bazy danych. Informacje te mogą umożliwić atakującemu przeprowadzenie ukierunkowanych ataków na bazę danych.

HCL BigFix Service Management ma podatność ujawniania informacji, ponieważ dwa wystawione endpointy API zwracają wrażliwe dane, co może umożliwić atakującemu przeprowadzenie poważniejszych ataków.

HCL BigFix Service Management zawiera podatność niezabezpieczonej komunikacji, która umożliwia atakującemu z dostępem do sieci wewnętrznej przechwycenie niezaszyfrowanego ruchu HTTP między usługami backendu. Pozwala to na wyciek danych wrażliwych oraz przeprowadzenie ataków typu man-in-the-middle.

HCL BigFix Service Management ma podatność ujawniania informacji, która pozwala nieuwierzytelnionemu atakującemu analizować publicznie dostępne pliki JavaScript, co umożliwia odkrycie ukrytych endpointów API administracyjnych.

HCL BigFix Service Management jest dotknięty podatnością związaną z niebezpieczną konfiguracją atrybutów ciasteczek, która może pozwolić atakującemu na wykorzystanie brakujących atrybutów bezpieczeństwa, takich jak SameSite, HttpOnly, Secure i restrykcyjne ścieżki. Umożliwia to ataki Cross-Site Request Forgery (CSRF), przejęcie sesji przez Cross-Site Scripting (XSS) oraz nieautoryzowany dostęp.

HCL BigFix Service Management zawiera podatność typu Stored Cross-Site Scripting (XSS), która umożliwia atakującemu wstrzyknięcie i zapisanie złośliwych skryptów w aplikacji. Skrypty te wykonują się, gdy ofiara odwiedza zainfekowaną stronę, co umożliwia przejęcie sesji i kradzież danych wrażliwych.

HCL BigFix Service Management jest dotknięty podatnością typu Administrative Session Concurrency. Aplikacja pozwala na wiele jednoczesnych uwierzytelnionych sesji dla tego samego konta administracyjnego, co może umożliwić nieautoryzowanemu atakującemu przewidzenie lub przejęcie prawidłowych identyfikatorów sesji.