FICHE CVE

CVE-2016-20030

Publiée le 2026-03-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

ZKTeco ZKBioSecurity 3.0 est affecté par une faille qui permet à un attaquant d'identifier des noms d'utilisateurs valides au sein du système. En envoyant des requêtes spécifiques au script de connexion, un attaquant distant peut déterminer quels comptes existent en fonction des réponses de l'application. Ce processus ne nécessite ni authentification ni interaction de l'utilisateur et peut être effectué via le réseau.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-551

Publiée2026-03-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

ZKTeco ZKBioSecurity 3.0 contains a user enumeration vulnerability that allows unauthenticated attackers to discover valid usernames by submitting partial characters via the username parameter. Attackers can send requests to the authLoginAction!login.do script with varying username inputs to enumerate valid user accounts based on application responses.