FICHE CVE

CVE-2023-54391

Publiée le 2026-09-01 · Dernière modification le 2026-09-03

🇫🇷 EN BREF

Proxmox Virtual Environment (versions 7.0 à 8.0) est affecté par une faille dans son système de contrôle d'accès. Un attaquant non authentifié ayant un accès réseau à l'API peut contourner la vérification du mot de passe et se connecter en tant que n'importe quel utilisateur — y compris le compte root — à condition que cet utilisateur n'ait pas configuré l'authentification à deux facteurs. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est très simple via une requête POST basique.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-304

Publiée2026-09-01

Dernière modification2026-09-03

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Proxmox Virtual Environment (VE) 7.0 through 8.0 contains an authentication bypass vulnerability in libpve-access-control before 8.0.4 that allows unauthenticated attackers to authenticate as any existing enabled user without a configured second factor by supplying an arbitrary tfa-challenge value in the API login endpoint. Attackers can send a POST request to the access ticket API endpoint with any value in the tfa-challenge parameter to completely skip password verification, gaining unauthorized access including to the root@pam account. All affected releases are end of life.