CVE-2026-56569
ŚrednieCVSS 4.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
HCL iControl jest podatny na ujawnienie wrażliwych danych. Problem wynika z nieprawidłowego zabezpieczenia serwera WWW lub aplikacji, co prowadzi do publicznego dostępu do wewnętrznych plików konfiguracyjnych.
Ocena ryzyka
Organizacja ryzykuje wyciekiem poufnych informacji konfiguracyjnych, które mogą zostać wykorzystane do dalszych ataków na system.
Rekomendacja
Należy wzmocnić konfigurację serwera WWW i aplikacji, aby zablokować publiczny dostęp do wewnętrznych plików konfiguracyjnych.
Inne podatności w HCL iControl
Zobacz wszystkie- CVE-2026-56609Średnie
HCL iControl jest podatny na użycie słabych wersji SSL/TLS. Aplikacja używała przestarzałych protokołów TLS 1.0 i 1.1, które nie posiadają nowoczesnych zabezpieczeń i są podatne na znane ataki, narażając wrażliwe dane podczas transmisji.
- CVE-2026-56608Niskie
HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.
- CVE-2026-56571Niskie
HCL iControl jest dotknięty podatnością nieprawidłowej obsługi błędów, która obejmuje błędy takie jak brak pamięci, wyjątki null pointer, błędy systemowe, niedostępność bazy danych, timeout sieciowy i setki innych typowych warunków generujących błędy.
- CVE-2026-56570Niskie
HCL iControl jest dotknięty podatnością włączonego autouzupełniania, która ujawnia wrażliwe informacje, takie jak prawidłowe nazwy użytkowników, adresy e-mail używane do logowania oraz identyfikatory kont. Jeśli system jest dostępny ze współdzielonych środowisk, atakujący mogą wyliczyć prawidłowe nazwy użytkowników poprzez sugestie przeglądarki.
- CVE-2026-56568Niskie
HCL iControl jest dotknięty podatnością ujawniania informacji poprzez szczegółowe komunikaty błędów API po stronie klienta. Aplikacja wyświetla surowe komunikaty błędów serwera/API zamiast ogólnych, ujawniając wewnętrzne nazwy endpointów, parametry żądań, kody błędów i status uwierzytelnienia.
- CVE-2026-56567Średnie
HCL iControl w wersji 4.3.0 jest podatny na błędną konfigurację zabezpieczeń. Problem polega na publicznym udostępnieniu wewnętrznych plików konfiguracyjnych z powodu nieprawidłowego zabezpieczenia serwera WWW lub aplikacji.
- CVE-2025-62347Średnie
HCL iControl jest podatny na nieprawidłową walidację danych wejściowych. Wadliwa implementacja mechanizmu bezpieczeństwa nie sprawdza poprawnie, czy otrzymane dane wejściowe odpowiadają oczekiwanemu typowi, co może prowadzić do nieoczekiwanego zachowania systemu i potencjalnego ominięcia zabezpieczeń.
- CVE-2025-62340Niskie
Podatność w HCL iControl wynika z nieodpowiedniego czasu wygaśnięcia sesji. Aplikacja internetowa nie kończy automatycznie sesji użytkownika po okresie bezczynności.
- CVE-2025-52612Wysokie
HCL iControl jest podatny na podatność CSV Injection (wstrzykiwanie CSV) oraz odbitą podatność XSS. Jest to spowodowane niewystarczającym oczyszczaniem parametrów wejściowych.
- CVE-2025-52611Niskie
HCL iControl v4.0.0 ujawnia ślad stosu (stack trace) z powodu nieobsłużonego wyjątku, gdy kod JavaScript próbuje odczytać właściwość 'dashboard key' z niezdefiniowanego obiektu, co może wynikać z brakującej lub nieprawidłowo zainicjowanej zmiennej.
Oryginalny opis (angielski, źródło NVD)
HCL iControl was affected by Sensitive Data Exposure vulnerabilities. It involves the public exposure of internal configuration files due to improper web server or application hardening.