CVE-2026-21849
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
HCL AION zawiera połączenie WebSocket w interfejsie webowym GenAI, które korzysta z niezaszyfrowanego protokołu ws:// (localhost:8000) zamiast wss://. Może to umożliwić przechwycenie lub odczyt przesyłanych danych przez atakującego w sieci.
Ocena ryzyka
Dane wymieniane przez niezaszyfrowane połączenie mogą zostać przechwycone przez atakującego z dostępem do sieci, co grozi wyciekiem informacji.
Rekomendacja
Wymuś szyfrowane połączenia wss:// dla połączeń WebSocket w interfejsie GenAI i wdróż poprawkę od producenta.
Inne podatności w HCL AION
Zobacz wszystkie- CVE-2026-66987Średnie
HCL AION ma mechanizm blokady konta, który niewystarczająco ogranicza powtarzające się nieudane próby logowania. Atakujący może wykonać dużą liczbę zgadywań hasła przeciwko kontu użytkownika.
- CVE-2026-66986Niskie
HCL AION zawiera podatność, w której sesje użytkowników nie wygasały po wystarczającym okresie bezczynności. Nieobsługiwana uwierzytelniona sesja mogła zostać wykorzystana przez inną osobę mającą dostęp do tego samego systemu do przeglądania informacji lub wykonywania działań w imieniu użytkownika, co w pewnych warunkach może prowadzić do niezamierzonego zachowania lub wpływu na bezpieczeństwo.
- CVE-2026-66984Niskie
HCL AION ujawnia wewnętrzne ścieżki systemu plików serwera w niektórych odpowiedziach aplikacji. Informacje te mogą pomóc atakującemu poznać strukturę aplikacji i zaplanować dalsze ataki.
- CVE-2026-66982Niskie
W HCL AION autouzupełnianie przeglądarki było włączone na wrażliwych polach formularza logowania, co pozwalało przeglądarce zapisywać i podpowiadać wcześniej wprowadzone wartości. Osoba mająca dostęp do tej samej przeglądarki lub systemu może odzyskać zapisane dane uwierzytelniające.
- CVE-2026-66981Średnie
HCL AION ufa wartości nagłówka HTTP Host dostarczonego w żądaniu bez jej walidacji. Atakujący może manipulować tym nagłówkiem, aby wpływać na linki, przekierowania lub odpowiedzi generowane przez aplikację.
- CVE-2026-21834Niskie
W HCL AION brakowało nagłówka bezpieczeństwa Content-Security-Policy (CSP) w odpowiedziach aplikacji. Bez tego nagłówka przeglądarka nie ogranicza źródeł skryptów i innych treści, co zwiększa ekspozycję na ataki cross-site scripting i wstrzykiwanie treści.
- CVE-2026-5345Niskie
HCL AION zawiera drugie połączenie WebSocket w interfejsie webowym GenAI, które korzysta z niezaszyfrowanego protokołu ws:// zamiast wss://. Może to umożliwić przechwycenie lub odczyt przesyłanych danych przez atakującego w sieci.
- CVE-2026-35113Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Opener-Policy (COOP) był brakujący lub niebezpieczny, co pozwalało dokumentom cross-origin współdzielić kontekst przeglądania z aplikacją. Może to umożliwić ataki międzyokienkowe, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35112Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Embedder-Policy (COEP) był brakujący lub niebezpieczny, więc osadzone zasoby cross-origin nie musiały jawnie udzielać zgody. Osłabia to izolację cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35111Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Resource-Policy (CORP) był brakujący lub niebezpieczny, co pozwalało na ładowanie zasobów aplikacji przez inne originy. Może to narazić zasoby na wyciek danych cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
Oryginalny opis (angielski, źródło NVD)
HCL AION is affected by a missing encryption vulnerability in the WebSocket connection set up by the GenAI web interface. The connection used the unencrypted WebSocket protocol (ws://localhost:8000) instead of an encrypted (wss://) channel. This may allow data exchanged over the connection to be intercepted or read by an attacker on the network, potentially resulting in unintended behavior or security impact under certain conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS