CVE-2024-23564
Publiée le 2026-07-17 · Dernière modification le 2026-10-02
HCL Aftermarket EPC est affecté par un défaut de logique qui permet à un attaquant distant non authentifié de voler des mots de passe d'utilisateurs. En manipulant les réponses du serveur, un attaquant peut rediriger les e-mails de réinitialisation de mot de passe vers une adresse qu'il contrôle, sans avoir besoin d'un compte valide ni d'aucune interaction de l'utilisateur. Il s'agit d'une attaque réseau simple qui permet d'obtenir un accès privilégié aux identifiants des utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
HCL Aftermarket EPC is affected by Business Logic Vulnerability using which a non valid user of the application can obtain passwords from the server and redirect them to their own email address by manipulating the server's response. The application includes checks in the initial requests to verify the validity of the provided UserId, but similar validation is not applied to Email requests when sending passwords to user emails.