CVE-2026-21766
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Domyślny portlet logowania w HCL Digital Experience i Digital Experience Compose niewystarczająco chroni poświadczenia. W bardzo specyficznych przypadkach użycia i konfiguracji, wrażliwe informacje mogą zostać zapisane w logach serwera WWW. Dotyczy to tylko aplikacji używających domyślnego portletu logowania.
Ocena ryzyka
Może dojść do wycieku poświadczeń użytkowników do logów, co może prowadzić do nieautoryzowanego dostępu do systemu.
Rekomendacja
Zastosuj dostępne poprawki lub zmień konfigurację, aby uniknąć zapisywania wrażliwych informacji w logach.
Inne podatności w HCL Digital Experience
Zobacz wszystkie- CVE-2026-21837Wysokie
HCL Digital Experience jest podatny na wstrzyknięcie poleceń systemu operacyjnego w interfejsie API Digital Asset Management. Atakujący może wykonać dowolne polecenia systemowe, dziedzicząc uprawnienia podatnej aplikacji, co może prowadzić do całkowitego przejęcia systemu i naruszenia danych.
- CVE-2026-21826Średnie
HCL Digital Experience i HCL Digital Experience Compose są podatne na wstrzykiwanie nagłówka Host. Atakujący może manipulować nagłówkiem Host, powodując nieoczekiwane zachowanie aplikacji.
Oryginalny opis (angielski, źródło NVD)
The default login portlet in HCL Digital Experience and Digital Experience Compose insufficiently protects credentials. Under certain very specific use cases and specific configurations, sensitive information may be written to web server logs. This only affects applications using the default login portlet.