FICHE CVE

CVE-2015-3191

Publiée le 2017-05-25 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de Cloud Foundry Runtime (v209 ou version antérieure), de UAA Standalone (2.2.6 ou version antérieure) ou de PCF Runtime (1.4.5 ou version antérieure) utilisant des magasins d'utilisateurs internes sont concernés. Un attaquant peut inciter un utilisateur connecté à cliquer sur un lien malveillant pour modifier l'adresse e-mail du compte de cet utilisateur, ce qui pourrait potentiellement mener à une prise de contrôle du compte. Cette attaque est facile à exécuter via un réseau, mais nécessite que la victime interagisse avec un site malveillant tout en étant authentifiée.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Cross-site request forgery (CSRF) · CWE-352

Publiée2017-05-25

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

With Cloud Foundry Runtime cf-release versions v209 or earlier, UAA Standalone versions 2.2.6 or earlier and Pivotal Cloud Foundry Runtime 1.4.5 or earlier the change_email form in UAA is vulnerable to a CSRF attack. This allows an attacker to trigger an e-mail change for a user logged into a cloud foundry instance via a malicious link on a attacker controlled site. This vulnerability is applicable only when using the UAA internal user store for authentication. Deployments enabled for integration via SAML or LDAP are not affected.