CVE-2017-0910
Publiée le 2017-11-27 · Dernière modification le 2026-06-17
Les installations de Zulip Server configurées avec plusieurs domaines (realms) sont concernées. Un attaquant disposant d'un compte à faibles privilèges dans un domaine peut contourner les restrictions d'invitation pour créer un compte non autorisé dans tout autre domaine sur le même serveur, obtenant ainsi un accès complet aux données et communications privées de ce domaine. Cette action peut être exécutée via le réseau sans aucune interaction de l'utilisateur, à condition que l'attaquant possède déjà des identifiants valides pour au moins un domaine.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Zulip Server before 1.7.1, on a server with multiple realms, a vulnerability in the invitation system lets an authorized user of one realm on the server create a user account on any other realm.