FICHE CVE

CVE-2022-39216

Publiée le 2023-03-14 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Combodo iTop antérieures aux versions 2.7.8 et 3.0.2-1 sont vulnérables à la prise de contrôle de comptes car les jetons de réinitialisation de mot de passe manquent de hasard suffisant. Un attaquant distant non authentifié pourrait potentiellement prédire ces jetons pour réinitialiser le mot de passe de n'importe quel utilisateur et prendre le contrôle total de son compte. Bien qu'aucune interaction de l'utilisateur ne soit requise, l'attaque est difficile à exécuter en raison de la complexité de la prédiction de la séquence des jetons.

CVSS 3.17.4 ÉLEVÉE

Type de faiblesse

CWE-330

Publiée2023-03-14

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Combodo iTop is an open source, web-based IT service management platform. Prior to versions 2.7.8 and 3.0.2-1, the reset password token is generated without any randomness parameter. This may lead to account takeover. The issue is fixed in versions 2.7.8 and 3.0.2-1.