CVE-2026-21834 Falta de cabecera Content-Security-Policy en HCL AION
HCL AION está afectado por una vulnerabilidad en la que la cabecera de respuesta de seguridad Content-Security-Policy (CSP) faltaba en las respuestas de la aplicación. Sin esta cabecera, el navegador no restringe las fuentes de scripts y otros contenidos, lo que aumenta la exposición a cross-site scripting y ataques de inyección de contenido, con posible impacto no deseado en ciertas condiciones.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 4
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
HCL Software HCL AION
Version 2.7.0
Qué hacer
- Verificá si usás HCL AION y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.1 BAJA
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
HCL AION is affected by a vulnerability where the Content-Security-Policy (CSP) security response header was missing from application responses. Without this header, the browser does not restrict the sources of scripts and other content, increasing exposure to cross-site scripting and content-injection attacks, potentially resulting in unintended behavior or security impact under certain conditions.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.