CVE-2026-56592
ŚrednieCVSS 6.5Streszczenie
HCL BigFix Service Management jest dotknięty podatnością związaną z nieprawidłowym uwierzytelnianiem, wynikającą z niewystarczających blokad kont, co może pozwolić nieuwierzytelnionemu atakującemu na przeprowadzenie trwałych ataków brute-force na interfejs logowania, prowadzących do nieautoryzowanego dostępu do systemu.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do systemu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się wdrożenie silnych polityk blokady kont oraz aktualizację oprogramowania do wersji zawierającej poprawkę.
Inne podatności w HCL BigFix Service Management
Zobacz wszystkie- CVE-2026-56597Niskie
HCL BigFix Service Management jest dotknięty podatnością polegającą na wycieku poufnych informacji, która może pozwolić nieuwierzytelnionemu atakującemu na wyodrębnienie wewnętrznych adresów IP z odpowiedzi aplikacji, umożliwiając mapowanie topologii sieci i identyfikację potencjalnych celów wewnętrznych.
- CVE-2026-56595Niskie
HCL BigFix Service Management jest dotknięty podatnością polegającą na błędnej konfiguracji CORS z powodu nieprawidłowo walidowanych nagłówków origin, co może pozwolić atakującemu na stworzenie złośliwej strony internetowej wchodzącej w interakcję z podatną aplikacją, umożliwiając nieautoryzowany dostęp do chronionych zasobów i zastrzeżonych interfejsów API w imieniu ofiary.
- CVE-2026-56590Średnie
HCL BigFix Service Management jest dotknięty podatnością na nieograniczone przesyłanie plików z powodu niewłaściwej kontroli walidacji plików, co może pozwolić nieuwierzytelnionemu atakującemu na przesłanie i wykonanie złośliwych plików, prowadząc do całkowitej kompromitacji serwera.
- CVE-2026-21848Średnie
Podatność polegająca na nieprawidłowej konfiguracji zabezpieczeń w HCL BigFix Service Management. Uwierzytelniony atakujący może wykorzystać nieprawidłowe mechanizmy kontroli dostępu, umożliwiające nieautoryzowany podgląd ograniczonych danych między dzierżawcami (tenant boundaries).
- CVE-2026-67103Wysokie
HCL BigFix Service Management jest dotknięty podatnością Cross-Site Scripting (XSS), która może pozwolić atakującemu na wstrzyknięcie nieoczyszczonych złośliwych skryptów wykonujących się w przeglądarce ofiary. Umożliwia to przejęcie sesji, przejęcie konta i nieautoryzowane działania w imieniu dotkniętych użytkowników.
- CVE-2026-67102Wysokie
HCL BigFix Service Management zawiera podatność typu Broken Access Control o wysokiej wadze. Użytkownik z niskimi uprawnieniami może uzyskać nieautoryzowany dostęp do ekranów i funkcji administracyjnych zarezerwowanych dla ról o wyższych uprawnieniach.
- CVE-2026-67101Krytyczne
HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.
- CVE-2026-67100Krytyczne
HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.
- CVE-2025-31985Niskie
Brak lub nieprawidłowe ustawienie nagłówka X-Content-Type-Options w HCL BigFix Service Management (SM) umożliwia przeglądarkom wykonywanie sniffowania MIME. Może to prowadzić do błędnej interpretacji i wykonania złośliwych treści.
- CVE-2025-31973Średnie
HCL BigFix Service Management (SM) jest podatne na konfigurację – 'Niebezpieczne użycie wersji obrazu bazowego'. Używanie nieaktualnych lub niebezpiecznych obrazów bazowych może wprowadzić znane podatności, potencjalnie zwiększając ryzyko eksploatacji w środowisku aplikacji.
Oryginalny opis (angielski, źródło NVD)
HCL BigFix Service Management is affected by an Improper Authentication validation vulnerability related to inadequate account lockouts, which could allow an unauthenticated attacker to execute sustained brute-force attacks against the login interface, resulting in unauthorized system access.