CVE-2025-62347
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
HCL iControl jest podatny na nieprawidłową walidację danych wejściowych. Wadliwa implementacja mechanizmu bezpieczeństwa nie sprawdza poprawnie, czy otrzymane dane wejściowe odpowiadają oczekiwanemu typowi, co może prowadzić do nieoczekiwanego zachowania systemu i potencjalnego ominięcia zabezpieczeń.
Ocena ryzyka
Organizacja naraża się na nieprzewidziane działanie systemu oraz możliwość ominięcia zabezpieczeń, co może umożliwić ataki.
Rekomendacja
Należy zaktualizować HCL iControl do wersji zawierającej poprawioną walidację danych wejściowych lub zastosować dodatkowe mechanizmy filtrowania.
Inne podatności w HCL iControl
Zobacz wszystkie- CVE-2026-56609Średnie
HCL iControl jest podatny na użycie słabych wersji SSL/TLS. Aplikacja używała przestarzałych protokołów TLS 1.0 i 1.1, które nie posiadają nowoczesnych zabezpieczeń i są podatne na znane ataki, narażając wrażliwe dane podczas transmisji.
- CVE-2026-56608Niskie
HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.
- CVE-2026-56571Niskie
HCL iControl jest dotknięty podatnością nieprawidłowej obsługi błędów, która obejmuje błędy takie jak brak pamięci, wyjątki null pointer, błędy systemowe, niedostępność bazy danych, timeout sieciowy i setki innych typowych warunków generujących błędy.
- CVE-2026-56570Niskie
HCL iControl jest dotknięty podatnością włączonego autouzupełniania, która ujawnia wrażliwe informacje, takie jak prawidłowe nazwy użytkowników, adresy e-mail używane do logowania oraz identyfikatory kont. Jeśli system jest dostępny ze współdzielonych środowisk, atakujący mogą wyliczyć prawidłowe nazwy użytkowników poprzez sugestie przeglądarki.
- CVE-2026-56569Średnie
HCL iControl jest podatny na ujawnienie wrażliwych danych. Problem wynika z nieprawidłowego zabezpieczenia serwera WWW lub aplikacji, co prowadzi do publicznego dostępu do wewnętrznych plików konfiguracyjnych.
- CVE-2026-56568Niskie
HCL iControl jest dotknięty podatnością ujawniania informacji poprzez szczegółowe komunikaty błędów API po stronie klienta. Aplikacja wyświetla surowe komunikaty błędów serwera/API zamiast ogólnych, ujawniając wewnętrzne nazwy endpointów, parametry żądań, kody błędów i status uwierzytelnienia.
- CVE-2026-56567Średnie
HCL iControl w wersji 4.3.0 jest podatny na błędną konfigurację zabezpieczeń. Problem polega na publicznym udostępnieniu wewnętrznych plików konfiguracyjnych z powodu nieprawidłowego zabezpieczenia serwera WWW lub aplikacji.
- CVE-2025-62340Niskie
Podatność w HCL iControl wynika z nieodpowiedniego czasu wygaśnięcia sesji. Aplikacja internetowa nie kończy automatycznie sesji użytkownika po okresie bezczynności.
- CVE-2025-52612Wysokie
HCL iControl jest podatny na podatność CSV Injection (wstrzykiwanie CSV) oraz odbitą podatność XSS. Jest to spowodowane niewystarczającym oczyszczaniem parametrów wejściowych.
- CVE-2025-52611Niskie
HCL iControl v4.0.0 ujawnia ślad stosu (stack trace) z powodu nieobsłużonego wyjątku, gdy kod JavaScript próbuje odczytać właściwość 'dashboard key' z niezdefiniowanego obiektu, co może wynikać z brakującej lub nieprawidłowo zainicjowanej zmiennej.
Oryginalny opis (angielski, źródło NVD)
HCL iControl was affected by Improper Input Validation vulnerability. It is vulnerable to unexpected system behavior and potential security bypasses. This was caused by an implementation flaw in an architectural security tactic that fails to properly validate whether the received input matches the expected type.