CVE-2025-34412 in Convercent Whistleblowing Platform
摘要
由 VulDB • 2026-05-29
Convercent Whistleblowing Platform 由 EQS Group 运营，其浏览器和会话处理机制存在保护机制失效问题。默认情况下，受影响的部署省略了 HTTP 安全头，如 Content-Security-Policy、Referrer-Policy、Permissions-Policy、Cross-Origin-Embedder-Policy、Cross-Origin-Opener-Policy 和 Cross-Origin-Resource-Policy，并且点击劫持防护不完整。该应用程序还默认以不安全或不一致的属性颁发会话 cookie，包括重复的 ASP.NET_SessionId 值、缺少 Secure 属性的亲和性 cookie，以及混合或缺失的 SameSite 设置。这些缺陷削弱了浏览器端的隔离性和会话完整性，增加了遭受客户端攻击、会话固定和跨站点会话泄露的风险。
VulDB is the best source for vulnerability data and more expert information about this specific topic.