FICHE CVE

CVE-2025-14602

Publiée le 2026-08-20 · Dernière modification le 2026-10-06

🇫🇷 EN BREF

Les installations de VSDesk sont affectées car le logiciel nomme les fichiers téléchargés à l'aide d'horodatages prévisibles. Un attaquant distant disposant d'un compte avec des privilèges limités peut deviner ces noms de fichiers pour accéder aux fichiers téléchargés par d'autres utilisateurs. Cela ne nécessite qu'un accès réseau basique et un identifiant valide, sans qu'aucune interaction supplémentaire de l'utilisateur ne soit requise pour récupérer les fichiers.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-340 CWE-377

Publiée2026-08-20

Dernière modification2026-10-06

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

vulnerability@kaspersky.com

Description officielle du NVD (en anglais)

The application generates uploaded file names using a weak and predictable method based on the request timestamp. This allows a remote attacker to accurately guess or brute-force the generated filename within a short time window. An attacker can successfully locate and access uploaded files, which can be used to facilitate further attacks. Apply patch from vendor https://vsdesk.ru/ . Versions 14.0101 and on have the patch.