Уязвимость программного обеспечения автоматизации HR-процессов Websoft HCM связана с отсутствием установки атрибута «Secure» в файлах cookie сеанса авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить атаки, направленные на перехват сетевого трафика по протоколу HTTP, и получить идентификатор сессии пользователя
С целью усиления защиты сессионных cookie-параметров от атак необходимо в файл "xhttp.ini" добавить следующие параметры:
1) SESSION-COOKIE-SECURE:1
2) SESSION-COOKIE-SAME
-SITE: Strict
После изменения файла требуется выполнить перезагрузку системы.
При такой конфигурации портал\сайт будет функционировать только по протоколу https.
| Балл | 7.8 — высокая опасность |