CVE-2026-35147
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
HCL DFXServer jest dotknięty podatnością Broken Authentication poprzez bezpośredni dostęp do API. Aplikacja nie weryfikuje stanu uwierzytelnienia użytkownika podczas uzyskiwania dostępu do określonych endpointów API, co pozwala nieuwierzytelnionemu atakującemu na interakcję z API i wykonywanie nieautoryzowanych działań bez ważnych poświadczeń.
Ocena ryzyka
Ryzyko polega na możliwości wykonania nieautoryzowanych operacji przez atakującego bez uwierzytelnienia, co może prowadzić do naruszenia poufności, integralności lub dostępności systemu.
Rekomendacja
Zaleca się skontaktowanie z producentem HCL w celu uzyskania łatki lub wdrożenie dodatkowych mechanizmów uwierzytelniania na poziomie API, np. poprzez bramę API.
Inne podatności w HCL DFXServer
Zobacz wszystkie- CVE-2026-35149Wysokie
HCL DFXServer jest dotknięty podatnością na obejście uwierzytelniania poprzez manipulację odpowiedzią serwera. Nieautoryzowany użytkownik bez ważnych poświadczeń może wykorzystać tę wadę, przechwytując i zmieniając odpowiedzi uwierzytelniające serwera, co pozwala mu uzyskać nieautoryzowany dostęp do aplikacji bez weryfikacji.
- CVE-2026-35148Średnie
Produkt HCL DFXServer jest podatny na brak kontroli dostępu. Niektóre endpointy są dostępne bez żadnej formy uwierzytelniania w innej przeglądarce, co pozwala każdemu użytkownikowi sieci na wywoływanie tych API i interakcję z aplikacją bez weryfikacji tożsamości.
- CVE-2026-35146Średnie
Podatność w HCL DFXServer polegająca na braku szyfrowania komunikacji. Aplikacja umożliwia połączenia przez nieszyfrowany protokół HTTP, co może pozwolić atakującemu na przechwycenie ruchu sieciowego i wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
HCL DFXServer is affected by a Broken Authentication vulnerability via direct API access. The application fails to verify the user's authentication status when accessing specific API endpoints, allowing an unauthenticated attacker to interact with the APIs and perform unauthorized actions without valid credentials.