CVE-2022-31157
Publiée le 2022-07-15 · Dernière modification le 2026-06-17
Les applications PHP utilisant la bibliothèque LTI 1.3 Tool Library (versions antérieures à 5.0) sont affectées par une faille dans la manière dont les jetons de sécurité aléatoires (nonces) sont générés. Un attaquant distant non authentifié peut exploiter ce manque de complexité pour prédire ces jetons et effectuer des actions non autorisées ou falsifier des requêtes. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, au-delà d'un accès réseau au serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LTI 1.3 Tool Library is a library used for building IMS-certified LTI 1.3 tool providers in PHP. Prior to version 5.0, the function used to generate random nonces was not sufficiently cryptographically complex. Users should upgrade to version 5.0 to receive a patch. There are currently no known workarounds.