CVE-2025-52641

HCL AION nie konfiguruje nagłówka odpowiedzi HTTP Content-Security-Policy (CSP). CSP pomaga zapobiegać atakom takim jak Cross-Site Scripting (XSS) poprzez ograniczenie źródeł, z których mogą być ładowane skrypty, style i inne zasoby. Brak tego nagłówka może zmniejszyć skuteczność zabezpieczeń przeglądarki, potencjalnie prowadząc do niepożądanego zachowania lub negatywnych skutków bezpieczeństwa w określonych warunkach.

HCL AION jest podatny na pośrednie wstrzyknięcie promptu, które może prowadzić do wstrzyknięcia HTML w renderowanym wyniku. Wstrzyknięty kod może być wyświetlany użytkownikom, co może powodować nieoczekiwane zachowanie lub wpływ na bezpieczeństwo w określonych warunkach.

HCL AION jest dotknięty podatnością, w której odpowiedzi JavaScript zawierające dane mogą być odwoływane przez zewnętrzne strony, co potencjalnie umożliwia przechwycenie wrażliwych informacji przez stronę kontrolowaną przez atakującego (porwanie JavaScript) w określonych warunkach.

HCL AION jest dotknięty podatnością, w której niektóre pola wejściowe nie wymuszają wystarczającej walidacji po stronie serwera. Nieoczekiwane lub spreparowane dane wejściowe mogą zostać zaakceptowane przez aplikację, co może prowadzić do niepożądanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.

HCL AION jest podatny na brak wystarczających mechanizmów anty-automatyzacyjnych na niektórych punktach końcowych. Automatyczne lub skryptowe żądania mogą być wysyłane bez odpowiedniego ograniczania szybkości lub mechanizmów wyzwań, co może prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.

Produkt HCL AION jest dotknięty podatnością, w której współdzielone przechowywanie używane przez komponenty produktu jest zaprojektowane bez wystarczającego rozdzielenia dostępu. Procesy korzystające z tego przechowywania mogą uzyskać dostęp do plików lub je modyfikować poza zamierzonym zakresem, co może potencjalnie prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.

HCL AION jest podatny na lukę, w której wrażliwe informacje mogą być zawarte w parametrach URL. Przekazywanie poufnych danych w adresach URL może narazić je na wyciek poprzez historię przeglądarki, logi lub systemy pośredniczące, potencjalnie prowadząc do nieumyślnego ujawnienia informacji w pewnych warunkach.

HCL AION posiada podatność polegającą na nieprawidłowej konfiguracji niektórych nagłówków odpowiedzi HTTP związanych z bezpieczeństwem. Brak tych nagłówków może osłabić skuteczność mechanizmów bezpieczeństwa przeglądarki.

HCL AION jest dotknięty podatnością, gdzie nie są egzekwowane odpowiednie zabezpieczenia przed atakami brute-force. Może to pozwolić na wielokrotne próby uwierzytelnienia, co potencjalnie prowadzi do nieautoryzowanego dostępu lub kompromitacji konta w określonych warunkach.

HCL AION jest podatny na problem związany z używaniem podstawowych tokenów autoryzacyjnych do uwierzytelniania. Stosowanie mechanizmów Basic Authorization może narazić poświadczenia na przechwycenie lub niewłaściwe użycie, zwłaszcza bez bezpiecznego przesyłania.