CVE-2026-21837
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
HCL Digital Experience jest podatny na wstrzyknięcie poleceń systemu operacyjnego w interfejsie API Digital Asset Management. Atakujący może wykonać dowolne polecenia systemowe, dziedzicząc uprawnienia podatnej aplikacji, co może prowadzić do całkowitego przejęcia systemu i naruszenia danych.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie systemu, utratę poufności i integralności danych oraz potencjalną eskalację uprawnień w środowisku.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji, w której usunięto tę podatność, oraz ograniczenie dostępu do API Digital Asset Management tylko dla zaufanych użytkowników.
Inne podatności w HCL Digital Experience
Zobacz wszystkie- CVE-2026-21766Średnie
Domyślny portlet logowania w HCL Digital Experience i Digital Experience Compose niewystarczająco chroni poświadczenia. W bardzo specyficznych przypadkach użycia i konfiguracji, wrażliwe informacje mogą zostać zapisane w logach serwera WWW. Dotyczy to tylko aplikacji używających domyślnego portletu logowania.
- CVE-2026-21826Średnie
HCL Digital Experience i HCL Digital Experience Compose są podatne na wstrzykiwanie nagłówka Host. Atakujący może manipulować nagłówkiem Host, powodując nieoczekiwane zachowanie aplikacji.
Oryginalny opis (angielski, źródło NVD)
HCL Digital Experience is affected by an OS command injection vulnerability in the Digital Asset Management API. An attacker may execute arbitrary operating system commands, typically inheriting the privileges of the vulnerable application, which could possibly lead to a complete system takeover and data compromise.