CVE-2026-35145
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
HCL DFXAnalytics nie implementuje nagłówka HTTP Strict-Transport-Security (HSTS), co umożliwia atakującemu zdalne obniżenie poziomu szyfrowania połączenia do HTTP i przeprowadzenie ataku typu man-in-the-middle (MitM).
Ocena ryzyka
Brak HSTS naraża organizację na przechwytywanie i modyfikację ruchu sieciowego przez atakującego, co może prowadzić do kradzieży danych uwierzytelniających lub innych wrażliwych informacji.
Rekomendacja
Należy skonfigurować serwer aplikacji HCL DFXAnalytics tak, aby dodawał nagłówek Strict-Transport-Security do wszystkich odpowiedzi HTTP.
Inne podatności w HCL DFXAnalytics
Zobacz wszystkie- CVE-2026-56456Średnie
Podatność w HCL DFXAnalytics ujawnia wewnętrzne ścieżki plików poprzez nieobsłużone komunikaty błędów, logi systemowe lub dane debugowania. Zdalny atakujący może zmapować strukturę serwera i zidentyfikować cele do dalszego ataku.
- CVE-2026-56455Średnie
HCL DFXAnalytics zawiera podatność na przepełnienie bufora, która może prowadzić do odmowy usługi (DoS). Aplikacja nieprawidłowo waliduje rozmiary danych wejściowych, umożliwiając atakującemu przesłanie nadmiernej ilości informacji do kontenera pamięci, co może spowodować awarię systemu lub jego brak odpowiedzi.
- CVE-2026-56454Średnie
HCL DFXAnalytics używa przestarzałych protokołów TLS 1.0 i TLS 1.1, które mają liczne wady kryptograficzne. Umożliwia to przechwytywanie i deszyfrowanie przesyłanych danych.
- CVE-2026-56453Średnie
Podatność w HCL DFXAnalytics umożliwia przejęcie konta poprzez manipulację odpowiedzią HTTP. Zdalny atakujący może przechwycić i zmienić treść odpowiedzi serwera przed dotarciem do klienta, co pozwala na ominięcie mechanizmów uwierzytelniania i autoryzacji.
- CVE-2026-35143Niskie
Podatność w HCL DFXAnalytics polega na braku atrybutu SameSite w ciasteczkach sesji generowanych podczas uwierzytelniania. Może to umożliwić zdalnemu atakującemu przeprowadzenie ataku Cross-Site Request Forgery (CSRF), jeśli nie zastosowano dodatkowych zabezpieczeń, takich jak tokeny anty-CSRF.
- CVE-2026-35142Niskie
Podatność w HCL DFXAnalytics ujawnia wewnętrzne adresy IP w odpowiedziach serwera. Zdalny atakujący może zebrać informacje o topologii sieci wewnętrznej i wykorzystać je do dalszych ataków.
- CVE-2026-35141Niskie
HCL DFXAnalytics jest podatny na atak typu Login Replay. Zdalny atakujący może przechwycić, opóźnić lub ponownie przesłać ważne dane uwierzytelniające, uzyskując nieautoryzowany dostęp.
- CVE-2026-35140Niskie
Aplikacja HCL DFXAnalytics nie ustawia atrybutu "secure" na ciasteczkach sesji generowanych podczas uwierzytelniania. Luka ta umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego i kradzież wrażliwych ciasteczek, tokenów sesji lub poświadczeń przesyłanych w postaci jawnej przez nieszyfrowane kanały.
- CVE-2025-59854Niskie
HCL DFXAnalytics jest podatny na lukę niebezpiecznej konfiguracji nagłówków bezpieczeństwa, polegającą na używaniu przestarzałego nagłówka X-XSS-Protection. Może to pozwolić atakującemu na wykorzystanie błędów renderowania specyficznych dla przeglądarki lub obejście kontroli bezpieczeństwa, które powinny być zarządzane przez solidną politykę Content Security Policy (CSP).
- CVE-2025-59853Niskie
HCL DFXAnalytics jest dotknięty podatnością nieprawidłowej obsługi błędów, w której aplikacja ujawnia szczegółowe ślady stosu w odpowiedziach. Może to pozwolić atakującemu na uzyskanie wglądu w wewnętrzną strukturę aplikacji, logikę kodu i konfiguracje środowiska.
Oryginalny opis (angielski, źródło NVD)
HCL DFXAnalytics is affected by a Missing HTTP Strict-Transport-Security Header vulnerability. The application fails to implement the HTTP Strict Transport Security (HSTS) policy within its responses, which could allow a remote attacker to downgrade the communication channel to an unencrypted connection (HTTP) and conduct man-in-the-middle (MitM) attacks. To remediate this, the application must include the "Strict-Transport-Security" header in all web application responses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS