CVE-2026-56460
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Podatność w HCL DevOps Deploy / HCL Launch umożliwia uwierzytelnionym użytkownikom odczyt wrażliwych konfiguracji i sekretów w odpowiedziach API, co może być wykorzystane do dalszych ataków na system.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych, takich jak hasła czy klucze API, co może prowadzić do eskalacji uprawnień lub przejęcia kontroli nad systemem przez atakującego.
Rekomendacja
Zaleca się natychmiastową aktualizację HCL DevOps Deploy / HCL Launch do najnowszej wersji łatającej tę podatność oraz ograniczenie dostępu do API tylko dla zaufanych użytkowników.
Inne podatności w HCL DevOps Deploy
Zobacz wszystkie- CVE-2026-56458Średnie
Podatność w HCL DevOps Deploy wynika z nieprawidłowej konfiguracji mechanizmu CORS, która nie ogranicza domen do zaufanych. Umożliwia to atakującemu wykonywanie uprzywilejowanych działań oraz odczyt wrażliwych informacji.
- CVE-2025-62327Średnie
W HCL DevOps Deploy w wersjach od 8.1.2.0 do 8.1.2.3 użytkownik z uprawnieniami do konfiguracji LLM może odzyskać poświadczenia wcześniej zapisane do uwierzytelnionych zapytań LLM.
- CVE-2025-62330Średnie
HCL DevOps Deploy jest podatny na przesyłanie wrażliwych informacji w postaci jawnego tekstu, ponieważ port HTTP pozostaje dostępny i nie przekierowuje na HTTPS zgodnie z przeznaczeniem. Atakujący z dostępem sieciowym może przechwycić lub zmodyfikować poświadczenia użytkownika i dane sesji poprzez pasywny monitoring lub ataki man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
HCL DevOps Deploy / HCL Launch could disclose sensitive configurations and secrets to authenticated users in API responses that could be used in further attacks against the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS