CVE-2024-41659
Publiée le 2024-08-20 · Dernière modification le 2026-06-17
Le service de prise de notes Memos (version 0.20.1 et antérieures) contient une erreur de configuration dans la gestion des requêtes cross-origin. Si un utilisateur connecté visite un site web malveillant, un attaquant peut utiliser ce site pour voler silencieusement des notes privées ou modifier des données du système en utilisant la session active de l'utilisateur. Cette attaque est exécutée via le réseau et ne nécessite aucun privilège particulier, bien qu'elle dépende du fait que la victime clique sur un lien ou visite une page compromise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
memos is a privacy-first, lightweight note-taking service. A CORS misconfiguration exists in memos 0.20.1 and earlier where an arbitrary origin is reflected with Access-Control-Allow-Credentials set to true. This may allow an attacking website to make a cross-origin request, allowing the attacker to read private information or make privileged changes to the system as the vulnerable user account. This vulnerability is fixed in 0.21.0.