CVE-2026-21834
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W HCL AION brakowało nagłówka bezpieczeństwa Content-Security-Policy (CSP) w odpowiedziach aplikacji. Bez tego nagłówka przeglądarka nie ogranicza źródeł skryptów i innych treści, co zwiększa ekspozycję na ataki cross-site scripting i wstrzykiwanie treści.
Ocena ryzyka
Brak CSP zwiększa ryzyko skutecznego przeprowadzenia ataków XSS i wstrzykiwania treści w aplikacji.
Rekomendacja
Zaktualizuj HCL AION do wersji z poprawką dodającą nagłówek CSP i zweryfikuj jego konfigurację w środowisku produkcyjnym.
Inne podatności w HCL AION
Zobacz wszystkie- CVE-2026-66987Średnie
HCL AION ma mechanizm blokady konta, który niewystarczająco ogranicza powtarzające się nieudane próby logowania. Atakujący może wykonać dużą liczbę zgadywań hasła przeciwko kontu użytkownika.
- CVE-2026-66986Niskie
HCL AION zawiera podatność, w której sesje użytkowników nie wygasały po wystarczającym okresie bezczynności. Nieobsługiwana uwierzytelniona sesja mogła zostać wykorzystana przez inną osobę mającą dostęp do tego samego systemu do przeglądania informacji lub wykonywania działań w imieniu użytkownika, co w pewnych warunkach może prowadzić do niezamierzonego zachowania lub wpływu na bezpieczeństwo.
- CVE-2026-66984Niskie
HCL AION ujawnia wewnętrzne ścieżki systemu plików serwera w niektórych odpowiedziach aplikacji. Informacje te mogą pomóc atakującemu poznać strukturę aplikacji i zaplanować dalsze ataki.
- CVE-2026-66982Niskie
W HCL AION autouzupełnianie przeglądarki było włączone na wrażliwych polach formularza logowania, co pozwalało przeglądarce zapisywać i podpowiadać wcześniej wprowadzone wartości. Osoba mająca dostęp do tej samej przeglądarki lub systemu może odzyskać zapisane dane uwierzytelniające.
- CVE-2026-66981Średnie
HCL AION ufa wartości nagłówka HTTP Host dostarczonego w żądaniu bez jej walidacji. Atakujący może manipulować tym nagłówkiem, aby wpływać na linki, przekierowania lub odpowiedzi generowane przez aplikację.
- CVE-2026-5345Niskie
HCL AION zawiera drugie połączenie WebSocket w interfejsie webowym GenAI, które korzysta z niezaszyfrowanego protokołu ws:// zamiast wss://. Może to umożliwić przechwycenie lub odczyt przesyłanych danych przez atakującego w sieci.
- CVE-2026-35113Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Opener-Policy (COOP) był brakujący lub niebezpieczny, co pozwalało dokumentom cross-origin współdzielić kontekst przeglądania z aplikacją. Może to umożliwić ataki międzyokienkowe, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35112Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Embedder-Policy (COEP) był brakujący lub niebezpieczny, więc osadzone zasoby cross-origin nie musiały jawnie udzielać zgody. Osłabia to izolację cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35111Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Resource-Policy (CORP) był brakujący lub niebezpieczny, co pozwalało na ładowanie zasobów aplikacji przez inne originy. Może to narazić zasoby na wyciek danych cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35110Średnie
HCL AION jest podatny na problem, w którym szyfrowana komunikacja (HTTPS) nie była wymuszana dla wszystkich żądań. Dane mogą być przesyłane przez niezaszyfrowane połączenia i przechwycone przez atakującego w sieci, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
Oryginalny opis (angielski, źródło NVD)
HCL AION is affected by a vulnerability where the Content-Security-Policy (CSP) security response header was missing from application responses. Without this header, the browser does not restrict the sources of scripts and other content, increasing exposure to cross-site scripting and content-injection attacks, potentially resulting in unintended behavior or security impact under certain conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS