CVE-2025-62330
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
HCL DevOps Deploy jest podatny na przesyłanie wrażliwych informacji w postaci jawnego tekstu, ponieważ port HTTP pozostaje dostępny i nie przekierowuje na HTTPS zgodnie z przeznaczeniem. Atakujący z dostępem sieciowym może przechwycić lub zmodyfikować poświadczenia użytkownika i dane sesji poprzez pasywny monitoring lub ataki man-in-the-middle.
Ocena ryzyka
Przechwycenie poświadczeń i danych sesji może prowadzić do nieautoryzowanego dostępu do systemu wdrażania, co może skutkować naruszeniem poufności i integralności procesów DevOps.
Rekomendacja
Skonfiguruj serwer HCL DevOps Deploy tak, aby wymuszał przekierowanie na HTTPS i wyłączył dostęp przez niezaszyfrowany port HTTP.
Inne podatności w HCL DevOps Deploy
Zobacz wszystkie- CVE-2026-56460Średnie
Podatność w HCL DevOps Deploy / HCL Launch umożliwia uwierzytelnionym użytkownikom odczyt wrażliwych konfiguracji i sekretów w odpowiedziach API, co może być wykorzystane do dalszych ataków na system.
- CVE-2026-56458Średnie
Podatność w HCL DevOps Deploy wynika z nieprawidłowej konfiguracji mechanizmu CORS, która nie ogranicza domen do zaufanych. Umożliwia to atakującemu wykonywanie uprzywilejowanych działań oraz odczyt wrażliwych informacji.
- CVE-2025-62327Średnie
W HCL DevOps Deploy w wersjach od 8.1.2.0 do 8.1.2.3 użytkownik z uprawnieniami do konfiguracji LLM może odzyskać poświadczenia wcześniej zapisane do uwierzytelnionych zapytań LLM.
Oryginalny opis (angielski, źródło NVD)
HCL DevOps Deploy is susceptible to a cleartext transmission of sensitive information because the HTTP port remains accessible and does not redirect to HTTPS as intended. As a result, an attacker with network access could intercept or modify user credentials and session-related data via passive monitoring or man-in-the-middle attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS