CVE-2021-27200
Publiée le 2021-06-11 · Dernière modification le 2026-06-17
La version 3.0.4 de WoWonder est affectée par une faille dans le processus de récupération des mots de passe, qui utilise une valeur temporelle prévisible au lieu d'un code aléatoire sécurisé. Un attaquant distant peut deviner ce code pour prendre le contrôle de n'importe quel compte utilisateur, y compris les comptes administrateurs, sans avoir besoin de mot de passe ni d'interaction de la part de la victime. Comme l'attaque ne nécessite qu'un accès réseau et aucune authentification préalable, elle est triviale à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In WoWonder 3.0.4, remote attackers can take over any account due to the weak cryptographic algorithm in recover.php. The code parameter is easily predicted from the time of day.