CVE-2021-4238
Publiée le 2022-12-27 · Dernière modification le 2026-06-17
Les systèmes utilisant les fonctions `RandomAlphaNumeric` ou `CryptoRandomAlphaNumeric` pour générer des jetons ou des mots de passe sécurisés sont concernés. Un attaquant peut prédire ces valeurs plus facilement que prévu, ce qui pourrait lui permettre de détourner des sessions ou de contourner l'authentification pour prendre le contrôle total du système. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'authentification préalable ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Randomly-generated alphanumeric strings contain significantly less entropy than expected. The RandomAlphaNumeric and CryptoRandomAlphaNumeric functions always return strings containing at least one digit from 0 to 9. This significantly reduces the amount of entropy in short strings generated by these functions.