CVE-2021-46900
Publiée le 2023-12-31 · Dernière modification le 2026-06-17
Les gestionnaires de listes de diffusion Sympa antérieurs à la version 6.2.62 utilisent un paramètre de cookie prévisible ou absent comme sel de sécurité pour les mots de passe. Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette faille pour compromettre les mots de passe stockés et obtenir un accès non autorisé aux comptes. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Sympa before 6.2.62 relies on a cookie parameter for certain security objectives, but does not ensure that this parameter exists and has an unpredictable value. Specifically, the cookie parameter is both a salt for stored passwords and an XSS protection mechanism.