FICHE CVE

CVE-2025-13008

Publiée le 2025-12-19 · Dernière modification le 2026-09-25

🇫🇷 EN BREF

Les installations de M-Files Server sont vulnérables à une faille permettant à un utilisateur authentifié de voler les jetons de session d'autres utilisateurs actifs via l'interface web. En cas de succès, un attaquant peut détourner la session d'un autre utilisateur pour obtenir un accès non autorisé à ses données et à ses privilèges. Cela nécessite que l'attaquant possède un compte valide avec des privilèges restreints et qu'une victime interagisse avec un lien ou une page malveillante.

CVSS 4.08.6 ÉLEVÉE

Type de faiblesse

CWE-359

Publiée2025-12-19

Dernière modification2026-09-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

An information disclosure vulnerability in M-Files Server before versions 25.12.15491.7, 25.8 LTS SR3, 25.2 LTS SR3 and 24.8 LTS SR5 allows an authenticated attacker using M-Files Web to capture session tokens of other active users.