FICHE CVE

CVE-2022-0828

Publiée le 2022-04-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension Download Manager (versions antérieures à 3.2.34) sont concernés. Un attaquant distant non authentifié peut utiliser la méthode du force brute sur les clés de téléchargement pour contourner les protections par mot de passe et les restrictions basées sur les rôles, obtenant ainsi un accès direct aux fichiers protégés. Cette attaque est relativement facile à exécuter car elle ne nécessite qu'un accès réseau et aucune interaction de la part de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-338

Publiée2022-04-11

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Download Manager WordPress plugin before 3.2.34 uses the uniqid php function to generate the master key for a download, allowing an attacker to brute force the key with reasonable resources giving direct download access regardless of role based restrictions or password protections set for the download.