CVE-2026-67101
KrytyczneCVSS 9.3Streszczenie
HCL BigFix Service Management jest podatny na podatność Server-Side Request Forgery (SSRF) w funkcji wyszukiwania, co może pozwolić atakującemu na wymuszenie na serwerze aplikacji wysyłania żądań do systemów wewnętrznych niedostępnych z internetu.
Ocena ryzyka
Atakujący może wykorzystać serwer aplikacji jako pośrednika do skanowania i uzyskiwania dostępu do zasobów wewnętrznych. Może to prowadzić do ujawnienia informacji o infrastrukturze wewnętrznej lub dalszych ataków.
Rekomendacja
Zaktualizuj HCL BigFix Service Management do wersji zawierającej poprawkę. Ogranicz możliwość wykonywania wychodzących żądań z serwera aplikacji do zaufanych zasobów.
Inne podatności w HCL BigFix Service Management
Zobacz wszystkie- CVE-2026-56597Niskie
HCL BigFix Service Management jest dotknięty podatnością polegającą na wycieku poufnych informacji, która może pozwolić nieuwierzytelnionemu atakującemu na wyodrębnienie wewnętrznych adresów IP z odpowiedzi aplikacji, umożliwiając mapowanie topologii sieci i identyfikację potencjalnych celów wewnętrznych.
- CVE-2026-56595Niskie
HCL BigFix Service Management jest dotknięty podatnością polegającą na błędnej konfiguracji CORS z powodu nieprawidłowo walidowanych nagłówków origin, co może pozwolić atakującemu na stworzenie złośliwej strony internetowej wchodzącej w interakcję z podatną aplikacją, umożliwiając nieautoryzowany dostęp do chronionych zasobów i zastrzeżonych interfejsów API w imieniu ofiary.
- CVE-2026-56592Średnie
HCL BigFix Service Management jest dotknięty podatnością związaną z nieprawidłowym uwierzytelnianiem, wynikającą z niewystarczających blokad kont, co może pozwolić nieuwierzytelnionemu atakującemu na przeprowadzenie trwałych ataków brute-force na interfejs logowania, prowadzących do nieautoryzowanego dostępu do systemu.
- CVE-2026-56590Średnie
HCL BigFix Service Management jest dotknięty podatnością na nieograniczone przesyłanie plików z powodu niewłaściwej kontroli walidacji plików, co może pozwolić nieuwierzytelnionemu atakującemu na przesłanie i wykonanie złośliwych plików, prowadząc do całkowitej kompromitacji serwera.
- CVE-2026-21848Średnie
Podatność polegająca na nieprawidłowej konfiguracji zabezpieczeń w HCL BigFix Service Management. Uwierzytelniony atakujący może wykorzystać nieprawidłowe mechanizmy kontroli dostępu, umożliwiające nieautoryzowany podgląd ograniczonych danych między dzierżawcami (tenant boundaries).
- CVE-2026-67103Wysokie
HCL BigFix Service Management jest dotknięty podatnością Cross-Site Scripting (XSS), która może pozwolić atakującemu na wstrzyknięcie nieoczyszczonych złośliwych skryptów wykonujących się w przeglądarce ofiary. Umożliwia to przejęcie sesji, przejęcie konta i nieautoryzowane działania w imieniu dotkniętych użytkowników.
- CVE-2026-67102Wysokie
HCL BigFix Service Management zawiera podatność typu Broken Access Control o wysokiej wadze. Użytkownik z niskimi uprawnieniami może uzyskać nieautoryzowany dostęp do ekranów i funkcji administracyjnych zarezerwowanych dla ról o wyższych uprawnieniach.
- CVE-2026-67100Krytyczne
HCL BigFix Service Management jest podatny na wadę SQL Injection oraz wadę Cross-Tenant Data Exposure, co może pozwolić uwierzytelnionemu atakującemu na wstrzykiwanie poleceń bazy danych w celu wyodrębnienia poufnych informacji o systemie, a także manipulowanie wartościami żądań w celu uzyskania nieautoryzowanego dostępu do pełnych danych profilu osobowego i PII w różnych organizacjach.
- CVE-2025-31985Niskie
Brak lub nieprawidłowe ustawienie nagłówka X-Content-Type-Options w HCL BigFix Service Management (SM) umożliwia przeglądarkom wykonywanie sniffowania MIME. Może to prowadzić do błędnej interpretacji i wykonania złośliwych treści.
- CVE-2025-31973Średnie
HCL BigFix Service Management (SM) jest podatne na konfigurację – 'Niebezpieczne użycie wersji obrazu bazowego'. Używanie nieaktualnych lub niebezpiecznych obrazów bazowych może wprowadzić znane podatności, potencjalnie zwiększając ryzyko eksploatacji w środowisku aplikacji.
Oryginalny opis (angielski, źródło NVD)
HCL BigFix Service Management is affected by a Server-Side Request Forgery (SSRF) vulnerability in its search functionality, which could allow an attacker to force the application server to send requests to internal systems that are not accessible from the internet.