FICHE CVE

CVE-2025-13315

Publiée le 2025-11-19 · Dernière modification le 2026-10-18

🇫🇷 EN BREF

Twonky Server 8.5.2 sur Linux et Windows présente une faille de contrôle d'accès dans l'API de son service web. Un attaquant non authentifié disposant d'un accès réseau peut contourner l'authentification pour extraire un fichier journal du système contenant le nom d'utilisateur et le mot de passe chiffré de l'administrateur. Cette exploitation est facile à exécuter car elle ne nécessite ni identifiants préalables ni interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-420

Publiée2025-11-19

Dernière modification2026-10-18

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

cve@rapid7.com

Description officielle du NVD (en anglais)

Twonky Server 8.5.2 on Linux and Windows is vulnerable to an access control flaw. An unauthenticated attacker can bypass web service API authentication controls to leak a log file and read the administrator's username and encrypted password.