CVE-2025-52609
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
HCL iControl ma brakujące nagłówki bezpieczeństwa, co umożliwia ataki typu cross-site scripting (XSS) poprzez wyłączenie wbudowanych mechanizmów filtrowania XSS w nowoczesnych przeglądarkach.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, danych lub przekierowania na złośliwe strony.
Rekomendacja
Zaleca się dodanie odpowiednich nagłówków bezpieczeństwa, takich jak X-Content-Type-Options, X-Frame-Options oraz Content-Security-Policy, aby zapobiec atakom XSS.
Inne podatności w HCL iControl
Zobacz wszystkie- CVE-2026-56609Średnie
HCL iControl jest podatny na użycie słabych wersji SSL/TLS. Aplikacja używała przestarzałych protokołów TLS 1.0 i 1.1, które nie posiadają nowoczesnych zabezpieczeń i są podatne na znane ataki, narażając wrażliwe dane podczas transmisji.
- CVE-2026-56608Niskie
HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.
- CVE-2026-56571Niskie
HCL iControl jest dotknięty podatnością nieprawidłowej obsługi błędów, która obejmuje błędy takie jak brak pamięci, wyjątki null pointer, błędy systemowe, niedostępność bazy danych, timeout sieciowy i setki innych typowych warunków generujących błędy.
- CVE-2026-56570Niskie
HCL iControl jest dotknięty podatnością włączonego autouzupełniania, która ujawnia wrażliwe informacje, takie jak prawidłowe nazwy użytkowników, adresy e-mail używane do logowania oraz identyfikatory kont. Jeśli system jest dostępny ze współdzielonych środowisk, atakujący mogą wyliczyć prawidłowe nazwy użytkowników poprzez sugestie przeglądarki.
- CVE-2026-56569Średnie
HCL iControl jest podatny na ujawnienie wrażliwych danych. Problem wynika z nieprawidłowego zabezpieczenia serwera WWW lub aplikacji, co prowadzi do publicznego dostępu do wewnętrznych plików konfiguracyjnych.
- CVE-2026-56568Niskie
HCL iControl jest dotknięty podatnością ujawniania informacji poprzez szczegółowe komunikaty błędów API po stronie klienta. Aplikacja wyświetla surowe komunikaty błędów serwera/API zamiast ogólnych, ujawniając wewnętrzne nazwy endpointów, parametry żądań, kody błędów i status uwierzytelnienia.
- CVE-2026-56567Średnie
HCL iControl w wersji 4.3.0 jest podatny na błędną konfigurację zabezpieczeń. Problem polega na publicznym udostępnieniu wewnętrznych plików konfiguracyjnych z powodu nieprawidłowego zabezpieczenia serwera WWW lub aplikacji.
- CVE-2025-62347Średnie
HCL iControl jest podatny na nieprawidłową walidację danych wejściowych. Wadliwa implementacja mechanizmu bezpieczeństwa nie sprawdza poprawnie, czy otrzymane dane wejściowe odpowiadają oczekiwanemu typowi, co może prowadzić do nieoczekiwanego zachowania systemu i potencjalnego ominięcia zabezpieczeń.
- CVE-2025-62340Niskie
Podatność w HCL iControl wynika z nieodpowiedniego czasu wygaśnięcia sesji. Aplikacja internetowa nie kończy automatycznie sesji użytkownika po okresie bezczynności.
- CVE-2025-52612Wysokie
HCL iControl jest podatny na podatność CSV Injection (wstrzykiwanie CSV) oraz odbitą podatność XSS. Jest to spowodowane niewystarczającym oczyszczaniem parametrów wejściowych.
Oryginalny opis (angielski, źródło NVD)
HCL iControl was affected by Missing Security Headers vulnerability. which lead to cross-site scripting (XSS) attacks by enabling the built-in XSS filtering mechanisms of modern web browsers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS