CVE-2025-52628mediumCWE-1275

CVE-2025-52628: falha de média gravidade em HCL AION

HCL AION is susceptible to Missing SameSite vulnerability

Publicada em

Seguir esta CVE+ Monitorar AION

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.6epss 0.2%
Em resumo

O HCL AION 2.0 não protege adequadamente os cookies, permitindo que sejam enviados em requisições de outros sites, o que pode permitir que atacantes façam ações indesejadas na conta do usuário.

Detalhe técnico

A aplicação não define o atributo SameSite nos cookies, permitindo que sejam transmitidos em requisições entre sites. Isso habilita ataques de Falsificação de Solicitação Entre Sites (CSRF), nos quais um invasor pode forjar requisições em nome de usuários autenticados. A vulnerabilidade afeta o AION 2.0 e requer interação do usuário através de um site malicioso de terceiros.

Resumo gerado e traduzido por IA a partir da descrição oficial.
HCL AION is affected by a Cookie with Insecure, Improper, or Missing SameSite vulnerability. This can allow cookies to be sent in cross-site requests, potentially increasing exposure to cross-site request forgery and related security risks. This issue affects AION: 2.0.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L
Produtos afetados
HCL · AION
CVEs relacionadas — HCL AION

No mesmo produto, das mais perigosas para as menos.

CVE-2025-52626MEDIUMHCL AION is susceptible to Potential Command Injection vulnerabilityEPSS 0.7%CVE-2025-52635LOWHCL AION is susceptible to Trusted types in scripts not enforced in CSPEPSS 0.3%CVE-2025-52631LOWHCL AION is affected by a Missing or Insecure HTTP Strict-Transport-Security (HSTS) Header vulnerability.EPSS 0.2%CVE-2025-52637MEDIUMMultiple security vulnerabilities affect HCL AIONEPSS 0.2%CVE-2025-52625LOWHCL AION is susceptible to Cacheable SSL Page Found vulnerabilityEPSS 0.2%CVE-2025-52630LOWHCL AION is susceptible to Missing or insecure "X-Content-Type-Options" header vulnerabilityEPSS 0.2%