CVE-2026-56568
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
HCL iControl jest dotknięty podatnością ujawniania informacji poprzez szczegółowe komunikaty błędów API po stronie klienta. Aplikacja wyświetla surowe komunikaty błędów serwera/API zamiast ogólnych, ujawniając wewnętrzne nazwy endpointów, parametry żądań, kody błędów i status uwierzytelnienia.
Ocena ryzyka
Ryzyko polega na ujawnieniu szczegółów technicznych atakującemu, co może pomóc w planowaniu dalszych ataków lub eskalacji uprawnień.
Rekomendacja
Zaleca się skonfigurowanie HCL iControl do wyświetlania ogólnych komunikatów błędów zamiast surowych danych API.
Inne podatności w HCL iControl
Zobacz wszystkie- CVE-2026-56609Średnie
HCL iControl jest podatny na użycie słabych wersji SSL/TLS. Aplikacja używała przestarzałych protokołów TLS 1.0 i 1.1, które nie posiadają nowoczesnych zabezpieczeń i są podatne na znane ataki, narażając wrażliwe dane podczas transmisji.
- CVE-2026-56608Niskie
HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.
- CVE-2026-56571Niskie
HCL iControl jest dotknięty podatnością nieprawidłowej obsługi błędów, która obejmuje błędy takie jak brak pamięci, wyjątki null pointer, błędy systemowe, niedostępność bazy danych, timeout sieciowy i setki innych typowych warunków generujących błędy.
- CVE-2026-56570Niskie
HCL iControl jest dotknięty podatnością włączonego autouzupełniania, która ujawnia wrażliwe informacje, takie jak prawidłowe nazwy użytkowników, adresy e-mail używane do logowania oraz identyfikatory kont. Jeśli system jest dostępny ze współdzielonych środowisk, atakujący mogą wyliczyć prawidłowe nazwy użytkowników poprzez sugestie przeglądarki.
- CVE-2026-56569Średnie
HCL iControl jest podatny na ujawnienie wrażliwych danych. Problem wynika z nieprawidłowego zabezpieczenia serwera WWW lub aplikacji, co prowadzi do publicznego dostępu do wewnętrznych plików konfiguracyjnych.
- CVE-2026-56567Średnie
HCL iControl w wersji 4.3.0 jest podatny na błędną konfigurację zabezpieczeń. Problem polega na publicznym udostępnieniu wewnętrznych plików konfiguracyjnych z powodu nieprawidłowego zabezpieczenia serwera WWW lub aplikacji.
- CVE-2025-62347Średnie
HCL iControl jest podatny na nieprawidłową walidację danych wejściowych. Wadliwa implementacja mechanizmu bezpieczeństwa nie sprawdza poprawnie, czy otrzymane dane wejściowe odpowiadają oczekiwanemu typowi, co może prowadzić do nieoczekiwanego zachowania systemu i potencjalnego ominięcia zabezpieczeń.
- CVE-2025-62340Niskie
Podatność w HCL iControl wynika z nieodpowiedniego czasu wygaśnięcia sesji. Aplikacja internetowa nie kończy automatycznie sesji użytkownika po okresie bezczynności.
- CVE-2025-52612Wysokie
HCL iControl jest podatny na podatność CSV Injection (wstrzykiwanie CSV) oraz odbitą podatność XSS. Jest to spowodowane niewystarczającym oczyszczaniem parametrów wejściowych.
- CVE-2025-52611Niskie
HCL iControl v4.0.0 ujawnia ślad stosu (stack trace) z powodu nieobsłużonego wyjątku, gdy kod JavaScript próbuje odczytać właściwość 'dashboard key' z niezdefiniowanego obiektu, co może wynikać z brakującej lub nieprawidłowo zainicjowanej zmiennej.
Oryginalny opis (angielski, źródło NVD)
HCL iControl was affected by Information Exposure Through Verbose Client-Side API Error Messages vulnerabilities. It involves application displays raw server/API error messages to users instead of generic error messages and exposes internal endpoint names, request parameters, error codes, and authentication status
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS