Podatności HCL DFXAnalytics

Podatność w HCL DFXAnalytics ujawnia wewnętrzne ścieżki plików poprzez nieobsłużone komunikaty błędów, logi systemowe lub dane debugowania. Zdalny atakujący może zmapować strukturę serwera i zidentyfikować cele do dalszego ataku.

HCL DFXAnalytics zawiera podatność na przepełnienie bufora, która może prowadzić do odmowy usługi (DoS). Aplikacja nieprawidłowo waliduje rozmiary danych wejściowych, umożliwiając atakującemu przesłanie nadmiernej ilości informacji do kontenera pamięci, co może spowodować awarię systemu lub jego brak odpowiedzi.

HCL DFXAnalytics używa przestarzałych protokołów TLS 1.0 i TLS 1.1, które mają liczne wady kryptograficzne. Umożliwia to przechwytywanie i deszyfrowanie przesyłanych danych.

Podatność w HCL DFXAnalytics umożliwia przejęcie konta poprzez manipulację odpowiedzią HTTP. Zdalny atakujący może przechwycić i zmienić treść odpowiedzi serwera przed dotarciem do klienta, co pozwala na ominięcie mechanizmów uwierzytelniania i autoryzacji.

HCL DFXAnalytics nie implementuje nagłówka HTTP Strict-Transport-Security (HSTS), co umożliwia atakującemu zdalne obniżenie poziomu szyfrowania połączenia do HTTP i przeprowadzenie ataku typu man-in-the-middle (MitM).

Podatność w HCL DFXAnalytics polega na braku atrybutu SameSite w ciasteczkach sesji generowanych podczas uwierzytelniania. Może to umożliwić zdalnemu atakującemu przeprowadzenie ataku Cross-Site Request Forgery (CSRF), jeśli nie zastosowano dodatkowych zabezpieczeń, takich jak tokeny anty-CSRF.

Podatność w HCL DFXAnalytics ujawnia wewnętrzne adresy IP w odpowiedziach serwera. Zdalny atakujący może zebrać informacje o topologii sieci wewnętrznej i wykorzystać je do dalszych ataków.

HCL DFXAnalytics jest podatny na atak typu Login Replay. Zdalny atakujący może przechwycić, opóźnić lub ponownie przesłać ważne dane uwierzytelniające, uzyskując nieautoryzowany dostęp.

Aplikacja HCL DFXAnalytics nie ustawia atrybutu "secure" na ciasteczkach sesji generowanych podczas uwierzytelniania. Luka ta umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego i kradzież wrażliwych ciasteczek, tokenów sesji lub poświadczeń przesyłanych w postaci jawnej przez nieszyfrowane kanały.

HCL DFXAnalytics jest podatny na lukę niebezpiecznej konfiguracji nagłówków bezpieczeństwa, polegającą na używaniu przestarzałego nagłówka X-XSS-Protection. Może to pozwolić atakującemu na wykorzystanie błędów renderowania specyficznych dla przeglądarki lub obejście kontroli bezpieczeństwa, które powinny być zarządzane przez solidną politykę Content Security Policy (CSP).

HCL DFXAnalytics jest dotknięty podatnością nieprawidłowej obsługi błędów, w której aplikacja ujawnia szczegółowe ślady stosu w odpowiedziach. Może to pozwolić atakującemu na uzyskanie wglądu w wewnętrzną strukturę aplikacji, logikę kodu i konfiguracje środowiska.

HCL DFXAnalytics jest podatny na niewystarczającą ochronę warstwy transportowej, gdzie dane są przesyłane siecią bez szyfrowania. Może to pozwolić atakującemu na naruszenie poufności, integralności i uwierzytelnienia poufnych informacji.

HCL DFXAnalytics ma podatność związaną z używaniem komponentów ze znanymi podatnościami (Using Components with Known Vulnerabilities). Aplikacja wykorzystuje niezałatane biblioteki lub podkomponenty, co może pozwolić atakującemu na identyfikację i wykorzystanie publicznie znanych luk bezpieczeństwa w celu uzyskania nieautoryzowanego dostępu lub naruszenia aplikacji.

HCL DFXAnalytics jest dotknięty podatnością niebezpiecznej konfiguracji nagłówków bezpieczeństwa, gdzie Content-Security-Policy nie definiuje ścisłych dyrektyw dla object-src i base-uri, co może pozwolić atakującemu na wykorzystanie wektorów iniekcji takich jak Cross-Site Scripting (XSS).