FICHE CVE

CVE-2022-2193

Publiée le 2022-07-19 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de HYPR Server antérieures à 6.14.1 sont affectées par une faille qui permet à un utilisateur connecté d'enregistrer une clé de sécurité FIDO2 sur le compte d'une autre personne en modifiant les paramètres de la requête. Un attaquant disposant d'un compte utilisateur standard peut exploiter cette vulnérabilité à distance pour prendre le contrôle total d'autres comptes, bien que sa mise en œuvre nécessite un effort technique important. Aucune interaction de la part de la victime n'est nécessaire.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-280 Contournement d'autorisation par clé contrôlée par l'utilisateur (IDOR) · CWE-639

Publiée2022-07-19

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Insecure Direct Object Reference vulnerability in HYPR Server before version 6.14.1 allows remote authenticated attackers to add a FIDO2 authenticator to arbitrary accounts via parameter tampering in the Device Manager page. This issue affects: HYPR Server versions prior to 6.14.1.