CVE-2026-35149
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
HCL DFXServer jest dotknięty podatnością na obejście uwierzytelniania poprzez manipulację odpowiedzią serwera. Nieautoryzowany użytkownik bez ważnych poświadczeń może wykorzystać tę wadę, przechwytując i zmieniając odpowiedzi uwierzytelniające serwera, co pozwala mu uzyskać nieautoryzowany dostęp do aplikacji bez weryfikacji.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania pełnego dostępu do aplikacji przez nieautoryzowanego użytkownika, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację HCL DFXServer do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie dodatkowych mechanizmów uwierzytelniania.
Inne podatności w HCL DFXServer
Zobacz wszystkie- CVE-2026-35148Średnie
Produkt HCL DFXServer jest podatny na brak kontroli dostępu. Niektóre endpointy są dostępne bez żadnej formy uwierzytelniania w innej przeglądarce, co pozwala każdemu użytkownikowi sieci na wywoływanie tych API i interakcję z aplikacją bez weryfikacji tożsamości.
- CVE-2026-35147Wysokie
HCL DFXServer jest dotknięty podatnością Broken Authentication poprzez bezpośredni dostęp do API. Aplikacja nie weryfikuje stanu uwierzytelnienia użytkownika podczas uzyskiwania dostępu do określonych endpointów API, co pozwala nieuwierzytelnionemu atakującemu na interakcję z API i wykonywanie nieautoryzowanych działań bez ważnych poświadczeń.
- CVE-2026-35146Średnie
Podatność w HCL DFXServer polegająca na braku szyfrowania komunikacji. Aplikacja umożliwia połączenia przez nieszyfrowany protokół HTTP, co może pozwolić atakującemu na przechwycenie ruchu sieciowego i wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
HCL DFXServer is affected by an Authentication Bypass vulnerability via server response manipulation. An unauthorized user without valid credentials can exploit this flaw by intercepting and altering the server's authentication responses, allowing them to gain unauthorized access to the application without verification.