CVE-2025-31982
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
HCL BigFix Service Management (SM) posiadał katalogi, które nie były linkowane ani publicznie widoczne, ale mogły być dostępne bezpośrednio. Może to zwiększyć ryzyko ujawnienia informacji lub niewłaściwego wykorzystania poufnych funkcji.
Ocena ryzyka
Atakujący może uzyskać dostęp do ukrytych katalogów i wykorzystać je do ujawnienia informacji lub niewłaściwego użycia poufnych funkcji, co może prowadzić do kompromitacji systemu.
Rekomendacja
Należy zabezpieczyć lub usunąć bezpośrednio dostępne katalogi oraz zastosować dostępne aktualizacje bezpieczeństwa dla HCL BigFix Service Management.
Inne podatności w HCL BigFix Service Management
Zobacz wszystkie- CVE-2026-56596Niskie
HCL BigFix Service Management ma podatność na nieprawidłową walidację danych wejściowych, która może pozwolić atakującemu na dostarczenie nieoczekiwanych lub nieprawidłowo sformatowanych danych, powodując błędy przetwarzania, obejście logiki biznesowej i nieoczekiwane zachowanie aplikacji.
- CVE-2026-67101Krytyczne
HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.
- CVE-2026-67100Krytyczne
HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.
- CVE-2026-67172Niskie
HCL BigFix Service Management jest dotknięty podatnością ujawniania informacji, ponieważ aplikacja zwraca wrażliwe informacje w komunikatach błędów, gdy nieprawidłowe dane wejściowe są wysyłane do niektórych punktów końcowych API. Informacje te mogą umożliwić atakującemu przeprowadzenie dalszych ataków.
- CVE-2026-67171Średnie
HCL BigFix Service Management jest dotknięty podatnością na ujawnienie informacji, ponieważ wystawiony endpoint API ujawnia wrażliwe wewnętrzne informacje z bazy danych. Informacje te mogą umożliwić atakującemu przeprowadzenie ukierunkowanych ataków na bazę danych.
- CVE-2025-31980Średnie
HCL BigFix Service Management jest dotknięty podatnością na nieprawidłową walidację danych wejściowych, co może pozwolić atakującemu na wstrzyknięcie niezwalidowanych, nieprawidłowo sformułowanych danych do aplikacji, umożliwiając potencjalne ataki typu injection lub błędy w systemach przetwarzania danych.
- CVE-2026-67106Średnie
HCL BigFix Service Management ma podatność ujawniania informacji, ponieważ dwa wystawione endpointy API zwracają wrażliwe dane, co może umożliwić atakującemu przeprowadzenie poważniejszych ataków.
- CVE-2026-67105Wysokie
HCL BigFix Service Management zawiera podatność niezabezpieczonej komunikacji, która umożliwia atakującemu z dostępem do sieci wewnętrznej przechwycenie niezaszyfrowanego ruchu HTTP między usługami backendu. Pozwala to na wyciek danych wrażliwych oraz przeprowadzenie ataków typu man-in-the-middle.
- CVE-2026-67104Średnie
HCL BigFix Service Management ma podatność ujawniania informacji, która pozwala nieuwierzytelnionemu atakującemu analizować publicznie dostępne pliki JavaScript, co umożliwia odkrycie ukrytych endpointów API administracyjnych.
- CVE-2026-56599Niskie
HCL BigFix Service Management jest dotknięty podatnością związaną z niebezpieczną konfiguracją atrybutów ciasteczek, która może pozwolić atakującemu na wykorzystanie brakujących atrybutów bezpieczeństwa, takich jak SameSite, HttpOnly, Secure i restrykcyjne ścieżki. Umożliwia to ataki Cross-Site Request Forgery (CSRF), przejęcie sesji przez Cross-Site Scripting (XSS) oraz nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
HCL BigFix Service Management (SM) had directories that were not linked or publicly visible but could be accessed directly. This could allow an increased risk of information disclosure or misuse of sensitive functionality.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS