FICHE CVE

CVE-2019-16906

Publiée le 2019-10-31 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de l'application Infosysta « In-App & Desktop Notifications » pour Jira (version 1.6.13_J8) sont concernés. Un attaquant distant non authentifié peut lire les notifications privées d'autres utilisateurs en modifiant simplement un paramètre de nom d'utilisateur dans une URL. Cette faille ne nécessite aucun privilège particulier ni interaction de l'utilisateur pour être exploitée.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Authentification manquante · CWE-306 Autorisation manquante · CWE-862

Publiée2019-10-31

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in the Infosysta "In-App & Desktop Notifications" app 1.6.13_J8 for Jira. By using plugins/servlet/nfj/PushNotification?username= with a modified username, a different user's notifications can be read without authentication/authorization. These notifications are then no longer displayed to the normal user.