CVE-2026-35148
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Produkt HCL DFXServer jest podatny na brak kontroli dostępu. Niektóre endpointy są dostępne bez żadnej formy uwierzytelniania w innej przeglądarce, co pozwala każdemu użytkownikowi sieci na wywoływanie tych API i interakcję z aplikacją bez weryfikacji tożsamości.
Ocena ryzyka
Brak uwierzytelniania na krytycznych endpointach umożliwia nieautoryzowany dostęp do funkcji aplikacji, co może prowadzić do wycieku danych lub nieautoryzowanych operacji.
Rekomendacja
Należy skonfigurować uwierzytelnianie dla wszystkich endpointów DFXServer oraz ograniczyć dostęp sieciowy do tych interfejsów.
Inne podatności w HCL DFXServer
Zobacz wszystkie- CVE-2026-35149Wysokie
HCL DFXServer jest dotknięty podatnością na obejście uwierzytelniania poprzez manipulację odpowiedzią serwera. Nieautoryzowany użytkownik bez ważnych poświadczeń może wykorzystać tę wadę, przechwytując i zmieniając odpowiedzi uwierzytelniające serwera, co pozwala mu uzyskać nieautoryzowany dostęp do aplikacji bez weryfikacji.
- CVE-2026-35147Wysokie
HCL DFXServer jest dotknięty podatnością Broken Authentication poprzez bezpośredni dostęp do API. Aplikacja nie weryfikuje stanu uwierzytelnienia użytkownika podczas uzyskiwania dostępu do określonych endpointów API, co pozwala nieuwierzytelnionemu atakującemu na interakcję z API i wykonywanie nieautoryzowanych działań bez ważnych poświadczeń.
- CVE-2026-35146Średnie
Podatność w HCL DFXServer polegająca na braku szyfrowania komunikacji. Aplikacja umożliwia połączenia przez nieszyfrowany protokół HTTP, co może pozwolić atakującemu na przechwycenie ruchu sieciowego i wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
HCL DFXServer is affected by a Missing Access Control vulnerability. This vulnerability states that certain endpoints are accessible without any form of authentication in another browser. This allows any network user to invoke these APIs and interact with the application without verification of their identity or authorization level.