CVE-2026-35113

HCL AION ma mechanizm blokady konta, który niewystarczająco ogranicza powtarzające się nieudane próby logowania. Atakujący może wykonać dużą liczbę zgadywań hasła przeciwko kontu użytkownika.

HCL AION zawiera podatność, w której sesje użytkowników nie wygasały po wystarczającym okresie bezczynności. Nieobsługiwana uwierzytelniona sesja mogła zostać wykorzystana przez inną osobę mającą dostęp do tego samego systemu do przeglądania informacji lub wykonywania działań w imieniu użytkownika, co w pewnych warunkach może prowadzić do niezamierzonego zachowania lub wpływu na bezpieczeństwo.

HCL AION ujawnia wewnętrzne ścieżki systemu plików serwera w niektórych odpowiedziach aplikacji. Informacje te mogą pomóc atakującemu poznać strukturę aplikacji i zaplanować dalsze ataki.

W HCL AION autouzupełnianie przeglądarki było włączone na wrażliwych polach formularza logowania, co pozwalało przeglądarce zapisywać i podpowiadać wcześniej wprowadzone wartości. Osoba mająca dostęp do tej samej przeglądarki lub systemu może odzyskać zapisane dane uwierzytelniające.

HCL AION ufa wartości nagłówka HTTP Host dostarczonego w żądaniu bez jej walidacji. Atakujący może manipulować tym nagłówkiem, aby wpływać na linki, przekierowania lub odpowiedzi generowane przez aplikację.

W HCL AION brakowało nagłówka bezpieczeństwa Content-Security-Policy (CSP) w odpowiedziach aplikacji. Bez tego nagłówka przeglądarka nie ogranicza źródeł skryptów i innych treści, co zwiększa ekspozycję na ataki cross-site scripting i wstrzykiwanie treści.

HCL AION zawiera drugie połączenie WebSocket w interfejsie webowym GenAI, które korzysta z niezaszyfrowanego protokołu ws:// zamiast wss://. Może to umożliwić przechwycenie lub odczyt przesyłanych danych przez atakującego w sieci.

HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Embedder-Policy (COEP) był brakujący lub niebezpieczny, więc osadzone zasoby cross-origin nie musiały jawnie udzielać zgody. Osłabia to izolację cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.

HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Resource-Policy (CORP) był brakujący lub niebezpieczny, co pozwalało na ładowanie zasobów aplikacji przez inne originy. Może to narazić zasoby na wyciek danych cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.

HCL AION jest podatny na problem, w którym szyfrowana komunikacja (HTTPS) nie była wymuszana dla wszystkich żądań. Dane mogą być przesyłane przez niezaszyfrowane połączenia i przechwycone przez atakującego w sieci, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.