FICHE CVE

CVE-2016-7191

Publiée le 2016-09-28 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant la bibliothèque Node.js `passport-azure-ad` (versions 1.x antérieures à 1.4.6 ou 2.x antérieures à 2.0.1) sont concernées. Un attaquant distant peut contourner l'authentification en fournissant un jeton spécialement conçu, lui octroyant ainsi un accès non autorisé complet à l'application. Bien que cela ne nécessite aucune interaction de l'utilisateur ni d'identifiants, l'exécution est difficile car l'attaquant doit réussir à concevoir un jeton que le système accepte.

CVSS 3.08.1 ÉLEVÉE

Type de faiblesse

Authentification incorrecte · CWE-287

Publiée2016-09-28

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Microsoft Azure Active Directory Passport (aka Passport-Azure-AD) library 1.x before 1.4.6 and 2.x before 2.0.1 for Node.js does not recognize the validateIssuer setting, which allows remote attackers to bypass authentication via a crafted token.