CVE-2026-67100
KrytyczneCVSS 9.8Streszczenie
HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych osobowych i informacji systemowych należących do innych organizacji, co stanowi poważne naruszenie poufności. Może to skutkować naruszeniem przepisów o ochronie danych i utratą zaufania.
Rekomendacja
Zaktualizuj HCL BigFix Service Management do wersji zawierającej poprawkę. Wprowadź zasadę minimalnych uprawnień i audytuj dostęp do danych między organizacjami.
Inne podatności w HCL BigFix Service Management
Zobacz wszystkie- CVE-2026-56597Niskie
HCL BigFix Service Management jest dotknięty podatnością polegającą na wycieku poufnych informacji, która może pozwolić nieuwierzytelnionemu atakującemu na wyodrębnienie wewnętrznych adresów IP z odpowiedzi aplikacji, umożliwiając mapowanie topologii sieci i identyfikację potencjalnych celów wewnętrznych.
- CVE-2026-56595Niskie
HCL BigFix Service Management jest dotknięty podatnością polegającą na błędnej konfiguracji CORS z powodu nieprawidłowo walidowanych nagłówków origin, co może pozwolić atakującemu na stworzenie złośliwej strony internetowej wchodzącej w interakcję z podatną aplikacją, umożliwiając nieautoryzowany dostęp do chronionych zasobów i zastrzeżonych interfejsów API w imieniu ofiary.
- CVE-2026-56592Średnie
HCL BigFix Service Management jest dotknięty podatnością związaną z nieprawidłowym uwierzytelnianiem, wynikającą z niewystarczających blokad kont, co może pozwolić nieuwierzytelnionemu atakującemu na przeprowadzenie trwałych ataków brute-force na interfejs logowania, prowadzących do nieautoryzowanego dostępu do systemu.
- CVE-2026-56590Średnie
HCL BigFix Service Management jest dotknięty podatnością na nieograniczone przesyłanie plików z powodu niewłaściwej kontroli walidacji plików, co może pozwolić nieuwierzytelnionemu atakującemu na przesłanie i wykonanie złośliwych plików, prowadząc do całkowitej kompromitacji serwera.
- CVE-2026-21848Średnie
Podatność polegająca na nieprawidłowej konfiguracji zabezpieczeń w HCL BigFix Service Management. Uwierzytelniony atakujący może wykorzystać nieprawidłowe mechanizmy kontroli dostępu, umożliwiające nieautoryzowany podgląd ograniczonych danych między dzierżawcami (tenant boundaries).
- CVE-2026-67103Wysokie
HCL BigFix Service Management jest dotknięty podatnością Cross-Site Scripting (XSS), która może pozwolić atakującemu na wstrzyknięcie nieoczyszczonych złośliwych skryptów wykonujących się w przeglądarce ofiary. Umożliwia to przejęcie sesji, przejęcie konta i nieautoryzowane działania w imieniu dotkniętych użytkowników.
- CVE-2026-67102Wysokie
HCL BigFix Service Management zawiera podatność typu Broken Access Control o wysokiej wadze. Użytkownik z niskimi uprawnieniami może uzyskać nieautoryzowany dostęp do ekranów i funkcji administracyjnych zarezerwowanych dla ról o wyższych uprawnieniach.
- CVE-2026-67101Krytyczne
HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.
- CVE-2025-31985Niskie
Brak lub nieprawidłowe ustawienie nagłówka X-Content-Type-Options w HCL BigFix Service Management (SM) umożliwia przeglądarkom wykonywanie sniffowania MIME. Może to prowadzić do błędnej interpretacji i wykonania złośliwych treści.
- CVE-2025-31973Średnie
HCL BigFix Service Management (SM) jest podatne na konfigurację – 'Niebezpieczne użycie wersji obrazu bazowego'. Używanie nieaktualnych lub niebezpiecznych obrazów bazowych może wprowadzić znane podatności, potencjalnie zwiększając ryzyko eksploatacji w środowisku aplikacji.
Oryginalny opis (angielski, źródło NVD)
HCL BigFix Service Management is affected by SQL Injection flaw and a Cross-Tenant Data Exposure flaw vulnerabilities. which could allow an authenticated attacker to inject database commands to extract sensitive system details, as well as manipulate request values to gain unauthorized access to full personal profile data and PII across different organizations.