CVE-2017-1000153
Publiée le 2017-11-03 · Dernière modification le 2026-06-17
Les installations de Mahara e-portfolio (versions 15.04 à 16.04) sont affectées par une faille pour laquelle les liens de réinitialisation de mot de passe restent actifs même après qu'un utilisateur a modifié son adresse e-mail. Un attaquant ayant accès à un ancien lien de réinitialisation peut l'utiliser pour détourner le compte d'un utilisateur et prendre le contrôle total de ses données. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de la part de la victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mahara 15.04 before 15.04.10 and 15.10 before 15.10.6 and 16.04 before 16.04.4 are vulnerable to incorrect access control after the password reset link is sent via email and then user changes default email, Mahara fails to invalidate old link.Consequently the link in email can be used to gain access to the user's account.