CVE-2016-6531
Publiée le 2016-09-24 · Dernière modification le 2026-06-17
Les versions 16.1 et antérieures d'Open Dental contiennent un mot de passe root MySQL par défaut ou codé en dur. Un attaquant ayant un accès réseau au port TCP 3306 peut utiliser ces identifiants pour obtenir un contrôle administratif total sur la base de données, lui permettant ainsi de lire, modifier ou supprimer l'ensemble des données des patients. Cette exploitation ne nécessite aucune authentification ni interaction de l'utilisateur et peut être effectuée à distance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Open Dental 16.1 and earlier has a hardcoded MySQL root password, which allows remote attackers to obtain administrative access by leveraging access to intranet TCP port 3306. NOTE: the vendor disputes this issue, stating that the "vulnerability note ... is factually false ... there is indeed a default blank password, but it can be changed ... We recommend that users change it, each customer receives direction.