CVE-2026-66986
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
HCL AION zawiera podatność, w której sesje użytkowników nie wygasały po wystarczającym okresie bezczynności. Nieobsługiwana uwierzytelniona sesja mogła zostać wykorzystana przez inną osobę mającą dostęp do tego samego systemu do przeglądania informacji lub wykonywania działań w imieniu użytkownika, co w pewnych warunkach może prowadzić do niezamierzonego zachowania lub wpływu na bezpieczeństwo.
Ocena ryzyka
Osoba mająca dostęp do niezabezpieczonego stanowiska może przejąć nieaktywną sesję i działać w imieniu zalogowanego użytkownika. Może to prowadzić do nieautoryzowanego dostępu do informacji lub niepożądanych operacji.
Rekomendacja
Należy zaktualizować HCL AION do wersji zawierającej poprawkę wymuszającą wygasanie sesji po okresie bezczynności oraz wdrożyć politykę automatycznego blokowania stacji roboczych.
Inne podatności w HCL AION
Zobacz wszystkie- CVE-2026-66987Średnie
HCL AION ma mechanizm blokady konta, który niewystarczająco ogranicza powtarzające się nieudane próby logowania. Atakujący może wykonać dużą liczbę zgadywań hasła przeciwko kontu użytkownika.
- CVE-2026-66984Niskie
HCL AION ujawnia wewnętrzne ścieżki systemu plików serwera w niektórych odpowiedziach aplikacji. Informacje te mogą pomóc atakującemu poznać strukturę aplikacji i zaplanować dalsze ataki.
- CVE-2026-66982Niskie
W HCL AION autouzupełnianie przeglądarki było włączone na wrażliwych polach formularza logowania, co pozwalało przeglądarce zapisywać i podpowiadać wcześniej wprowadzone wartości. Osoba mająca dostęp do tej samej przeglądarki lub systemu może odzyskać zapisane dane uwierzytelniające.
- CVE-2026-66981Średnie
HCL AION ufa wartości nagłówka HTTP Host dostarczonego w żądaniu bez jej walidacji. Atakujący może manipulować tym nagłówkiem, aby wpływać na linki, przekierowania lub odpowiedzi generowane przez aplikację.
- CVE-2026-21834Niskie
W HCL AION brakowało nagłówka bezpieczeństwa Content-Security-Policy (CSP) w odpowiedziach aplikacji. Bez tego nagłówka przeglądarka nie ogranicza źródeł skryptów i innych treści, co zwiększa ekspozycję na ataki cross-site scripting i wstrzykiwanie treści.
- CVE-2026-5345Niskie
HCL AION zawiera drugie połączenie WebSocket w interfejsie webowym GenAI, które korzysta z niezaszyfrowanego protokołu ws:// zamiast wss://. Może to umożliwić przechwycenie lub odczyt przesyłanych danych przez atakującego w sieci.
- CVE-2026-35113Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Opener-Policy (COOP) był brakujący lub niebezpieczny, co pozwalało dokumentom cross-origin współdzielić kontekst przeglądania z aplikacją. Może to umożliwić ataki międzyokienkowe, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35112Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Embedder-Policy (COEP) był brakujący lub niebezpieczny, więc osadzone zasoby cross-origin nie musiały jawnie udzielać zgody. Osłabia to izolację cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35111Średnie
HCL AION jest podatny na problem, w którym nagłówek Cross-Origin-Resource-Policy (CORP) był brakujący lub niebezpieczny, co pozwalało na ładowanie zasobów aplikacji przez inne originy. Może to narazić zasoby na wyciek danych cross-origin, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
- CVE-2026-35110Średnie
HCL AION jest podatny na problem, w którym szyfrowana komunikacja (HTTPS) nie była wymuszana dla wszystkich żądań. Dane mogą być przesyłane przez niezaszyfrowane połączenia i przechwycone przez atakującego w sieci, potencjalnie prowadząc do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w pewnych warunkach.
Oryginalny opis (angielski, źródło NVD)
HCL AION is affected by a vulnerability where user sessions did not expire after a sufficient period of inactivity. An unattended authenticated session could be used by another person with access to the same system to view information or perform actions on behalf of the user, potentially resulting in unintended behavior or security impact under certain conditions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS