CVE-2020-9449
Publiée le 2020-02-28 · Dernière modification le 2026-06-17
Les clients BlaB! AX et WS (version 19.11) sont affectés par une faille dans leur méthode de génération de nombres aléatoires. Un attaquant disposant d'un compte invité ou utilisateur basique peut exploiter cette faiblesse pour calculer le sel du cookie du système et forger un cookie de session pour n'importe quel autre utilisateur, y compris un administrateur. Cette attaque peut être réalisée à distance via le réseau avec une faible complexité et ne nécessite aucune interaction de la part de l'utilisateur ciblé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An insecure random number generation vulnerability in BlaB! AX, BlaB! AX Pro, BlaB! WS (client), and BlaB! WS Pro (client) version 19.11 allows an attacker (with a guest or user session cookie) to escalate privileges by retrieving the cookie salt value and creating a valid session cookie for an arbitrary user or admin.