CVE-2020-28970
Publiée le 2020-12-01 · Dernière modification le 2026-06-17
Les serveurs NAS Western Digital My Cloud OS 5 sont affectés par une faille qui permet à un attaquant de contourner l'authentification administrateur en manipulant un cookie. Un attaquant ayant un accès réseau peut utiliser cette vulnérabilité pour exécuter des commandes privilégiées et télécharger des scripts PHP malveillants sur l'appareil, sans avoir besoin de mot de passe ni d'interaction de l'utilisateur. Comme l'exploitation est simple et ne nécessite aucun identifiant, elle représente un risque important pour les appareils exposés.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered on Western Digital My Cloud OS 5 devices before 5.06.115. A NAS Admin authentication bypass vulnerability could allow an unauthenticated user to execute privileged commands on the device via a cookie. (In addition, an upload endpoint could then be used by an authenticated administrator to upload executable PHP scripts.)