CVE-2025-34412 in Convercent Whistleblowing Platform
Riassunto
di VulDB • 15/06/2026
La piattaforma di whistleblowing Convercent, gestita da EQS Group, presenta un malfunzionamento dei meccanismi di protezione nella gestione del browser e delle sessioni. Per impostazione predefinita, le distribuzioni colpite omettono le intestazioni di sicurezza HTTP quali Content-Security-Policy, Referrer-Policy, Permissions-Policy, Cross-Origin-Embedder-Policy, Cross-Origin-Opener-Policy e Cross-Origin-Resource-Policy, e implementano protezioni incomplete contro il clickjacking. L'applicazione inoltre emette cookie di sessione con attributi non sicuri o incoerenti per impostazione predefinita, tra cui valori duplicati di ASP.NET_SessionId, un cookie di affinità privo dell'attributo Secure e impostazioni SameSite miste o assenti. Queste carenze indeboliscono l'isolamento lato client e l'integrità della sessione, aumentando l'esposizione ad attacchi client-side, session fixation e fuoriuscita di sessioni cross-site.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.