FICHE CVE

CVE-2024-29868

Publiée le 2024-06-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 0.69.0 à 0.93.0 d'Apache StreamPipes utilisent une méthode prévisible pour générer les jetons de récupération de mot de passe. Un attaquant non authentifié disposant d'un accès réseau peut deviner ces jetons pour prendre le contrôle de n'importe quel compte utilisateur, sans qu'aucune interaction de la part de la victime ne soit nécessaire. L'attaque étant facile à exécuter à distance, il est recommandé de passer à la version 0.95.0.

CVSS 3.19.1 CRITIQUE

Type de faiblesse

CWE-338

Publiée2024-06-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG) vulnerability in Apache StreamPipes user self-registration and password recovery mechanism. This allows an attacker to guess the recovery token in a reasonable time and thereby to take over the attacked user's account. This issue affects Apache StreamPipes: from 0.69.0 through 0.93.0. Users are recommended to upgrade to version 0.95.0, which fixes the issue.