CVE-2024-12139
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le logiciel concerné ne nettoie pas correctement les entrées fournies par l'utilisateur dans les paramètres d'URL lors de la gestion des erreurs. Cette faille permet à un utilisateur de manipuler le texte spécifique que l'application affiche lorsqu'une erreur survient. Cela transforme essentiellement une page d'erreur standard en un support pour du contenu arbitraire.
Un attaquant peut utiliser cela pour effectuer de l'ingénierie sociale ou du phishing en incitant un utilisateur à croire qu'un faux message d'erreur est légitime. Comme l'attaque est transmise via un lien manipulé, elle ne nécessite aucune authentification ni privilèges spéciaux, mais elle requiert qu'une victime clique sur le lien. L'impact est limité à une perte d'intégrité de faible niveau, car l'attaquant ne peut ni accéder aux données de votre serveur, ni faire planter le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The error handling implementation fails to properly sanitize or validate user-supplied input within URL parameters under specific conditions. This allows end-users to manipulate the error messages that are displayed by the application. By exploiting this vulnerability, malicious actors can inject arbitrary content into error messages. This enables them to perform social engineering attacks, such as phishing or credential theft, by replacing legitimate error messages with malicious content, misleading users into compromising sensitive information or taking harmful actions.