CVE-2026-56454
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
HCL DFXAnalytics używa przestarzałych protokołów TLS 1.0 i TLS 1.1, które mają liczne wady kryptograficzne. Umożliwia to przechwytywanie i deszyfrowanie przesyłanych danych.
Ocena ryzyka
Organizacja naraża się na przechwycenie poufnych danych przesyłanych między klientami a serwerem, co może prowadzić do wycieku informacji i naruszenia zgodności z regulacjami.
Rekomendacja
Należy natychmiast wyłączyć obsługę TLS 1.0 i TLS 1.1 w HCL DFXAnalytics oraz włączyć wyłącznie TLS 1.2 i TLS 1.3.
Inne podatności w HCL DFXAnalytics
Zobacz wszystkie- CVE-2026-56456Średnie
Podatność w HCL DFXAnalytics ujawnia wewnętrzne ścieżki plików poprzez nieobsłużone komunikaty błędów, logi systemowe lub dane debugowania. Zdalny atakujący może zmapować strukturę serwera i zidentyfikować cele do dalszego ataku.
- CVE-2026-56455Średnie
HCL DFXAnalytics zawiera podatność na przepełnienie bufora, która może prowadzić do odmowy usługi (DoS). Aplikacja nieprawidłowo waliduje rozmiary danych wejściowych, umożliwiając atakującemu przesłanie nadmiernej ilości informacji do kontenera pamięci, co może spowodować awarię systemu lub jego brak odpowiedzi.
- CVE-2026-56453Średnie
Podatność w HCL DFXAnalytics umożliwia przejęcie konta poprzez manipulację odpowiedzią HTTP. Zdalny atakujący może przechwycić i zmienić treść odpowiedzi serwera przed dotarciem do klienta, co pozwala na ominięcie mechanizmów uwierzytelniania i autoryzacji.
- CVE-2026-35145Niskie
HCL DFXAnalytics nie implementuje nagłówka HTTP Strict-Transport-Security (HSTS), co umożliwia atakującemu zdalne obniżenie poziomu szyfrowania połączenia do HTTP i przeprowadzenie ataku typu man-in-the-middle (MitM).
- CVE-2026-35143Niskie
Podatność w HCL DFXAnalytics polega na braku atrybutu SameSite w ciasteczkach sesji generowanych podczas uwierzytelniania. Może to umożliwić zdalnemu atakującemu przeprowadzenie ataku Cross-Site Request Forgery (CSRF), jeśli nie zastosowano dodatkowych zabezpieczeń, takich jak tokeny anty-CSRF.
- CVE-2026-35142Niskie
Podatność w HCL DFXAnalytics ujawnia wewnętrzne adresy IP w odpowiedziach serwera. Zdalny atakujący może zebrać informacje o topologii sieci wewnętrznej i wykorzystać je do dalszych ataków.
- CVE-2026-35141Niskie
HCL DFXAnalytics jest podatny na atak typu Login Replay. Zdalny atakujący może przechwycić, opóźnić lub ponownie przesłać ważne dane uwierzytelniające, uzyskując nieautoryzowany dostęp.
- CVE-2026-35140Niskie
Aplikacja HCL DFXAnalytics nie ustawia atrybutu "secure" na ciasteczkach sesji generowanych podczas uwierzytelniania. Luka ta umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego i kradzież wrażliwych ciasteczek, tokenów sesji lub poświadczeń przesyłanych w postaci jawnej przez nieszyfrowane kanały.
Oryginalny opis (angielski, źródło NVD)
HCL DFXAnalytics is affected by a Deprecated Protocol vulnerability due to the use of TLS 1.0 and TLS 1.1. These legacy protocols contain numerous cryptographic design flaws that expose data to interception and decryption. To remediate this risk, the application must disable all support for TLS 1.0 and TLS 1.1, and exclusively enable support for secure protocols, specifically TLS 1.2 and TLS 1.3.