CVE-2026-21833
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
HCL AION nie konfiguruje nagłówka odpowiedzi HTTP Content-Security-Policy (CSP). CSP pomaga zapobiegać atakom takim jak Cross-Site Scripting (XSS) poprzez ograniczenie źródeł, z których mogą być ładowane skrypty, style i inne zasoby. Brak tego nagłówka może zmniejszyć skuteczność zabezpieczeń przeglądarki, potencjalnie prowadząc do niepożądanego zachowania lub negatywnych skutków bezpieczeństwa w określonych warunkach.
Ocena ryzyka
Brak nagłówka CSP zwiększa ryzyko ataków XSS i innych ataków opartych na przeglądarce, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników. Organizacja może być narażona na kompromitację aplikacji i naruszenie poufności danych.
Rekomendacja
Skonfiguruj nagłówek Content-Security-Policy w odpowiedziach HTTP aplikacji HCL AION, aby ograniczyć źródła ładowania zasobów. Zastosuj odpowiednie dyrektywy CSP, takie jak 'default-src' i 'script-src', aby zablokować nieautoryzowane skrypty.
Inne podatności w HCL AION
Zobacz wszystkie- CVE-2026-21832Średnie
HCL AION jest podatny na pośrednie wstrzyknięcie promptu, które może prowadzić do wstrzyknięcia HTML w renderowanym wyniku. Wstrzyknięty kod może być wyświetlany użytkownikom, co może powodować nieoczekiwane zachowanie lub wpływ na bezpieczeństwo w określonych warunkach.
- CVE-2025-62318Niskie
HCL AION jest dotknięty podatnością, w której odpowiedzi JavaScript zawierające dane mogą być odwoływane przez zewnętrzne strony, co potencjalnie umożliwia przechwycenie wrażliwych informacji przez stronę kontrolowaną przez atakującego (porwanie JavaScript) w określonych warunkach.
- CVE-2025-62315Niskie
HCL AION jest dotknięty podatnością, w której niektóre pola wejściowe nie wymuszają wystarczającej walidacji po stronie serwera. Nieoczekiwane lub spreparowane dane wejściowe mogą zostać zaakceptowane przez aplikację, co może prowadzić do niepożądanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.
- CVE-2025-62314Średnie
HCL AION jest podatny na brak wystarczających mechanizmów anty-automatyzacyjnych na niektórych punktach końcowych. Automatyczne lub skryptowe żądania mogą być wysyłane bez odpowiedniego ograniczania szybkości lub mechanizmów wyzwań, co może prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.
- CVE-2025-52640Średnie
Produkt HCL AION jest dotknięty podatnością, w której współdzielone przechowywanie używane przez komponenty produktu jest zaprojektowane bez wystarczającego rozdzielenia dostępu. Procesy korzystające z tego przechowywania mogą uzyskać dostęp do plików lub je modyfikować poza zamierzonym zakresem, co może potencjalnie prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.
- CVE-2025-62317Niskie
HCL AION jest podatny na lukę, w której wrażliwe informacje mogą być zawarte w parametrach URL. Przekazywanie poufnych danych w adresach URL może narazić je na wyciek poprzez historię przeglądarki, logi lub systemy pośredniczące, potencjalnie prowadząc do nieumyślnego ujawnienia informacji w pewnych warunkach.
- CVE-2025-62316Niskie
HCL AION posiada podatność polegającą na nieprawidłowej konfiguracji niektórych nagłówków odpowiedzi HTTP związanych z bezpieczeństwem. Brak tych nagłówków może osłabić skuteczność mechanizmów bezpieczeństwa przeglądarki.
- CVE-2025-62313Średnie
HCL AION jest dotknięty podatnością, gdzie nie są egzekwowane odpowiednie zabezpieczenia przed atakami brute-force. Może to pozwolić na wielokrotne próby uwierzytelnienia, co potencjalnie prowadzi do nieautoryzowanego dostępu lub kompromitacji konta w określonych warunkach.
- CVE-2025-62312Niskie
HCL AION jest podatny na problem związany z używaniem podstawowych tokenów autoryzacyjnych do uwierzytelniania. Stosowanie mechanizmów Basic Authorization może narazić poświadczenia na przechwycenie lub niewłaściwe użycie, zwłaszcza bez bezpiecznego przesyłania.
- CVE-2025-62311Średnie
HCL AION jest dotknięty podatnością, w której szczegóły usługi backend mogą być przesyłane przez niezabezpieczone kanały HTTP. Może to ujawnić wrażliwe informacje, które mogą zostać przechwycone lub nieautoryzowanie dostępne podczas transmisji w określonych warunkach.
Oryginalny opis (angielski, źródło NVD)
HCL AION is affected by a vulnerability in which the Content-Security-Policy (CSP) HTTP response header is not configured. CSP helps prevent attacks such as Cross-Site Scripting (XSS) by restricting the sources from which scripts, styles, and other resources can be loaded. The absence of this header may reduce the effectiveness of browser-based security controls, potentially resulting in unintended behavior or negative security impacts under certain conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS