FICHE CVE

CVE-2025-26522

Publiée le 2025-02-14 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

La plateforme de trading RupeeWeb présente une faille dans la manière dont elle valide les mots de passe à usage unique (OTP) sur certains points de terminaison de l'API. Un attaquant disposant de ses propres identifiants de compte valides peut manipuler les réponses de l'API pour contourner l'authentification à deux facteurs et obtenir un accès complet aux comptes d'autres utilisateurs. Bien que cela nécessite un accès au réseau et un compte valide, l'attaque est complexe à exécuter.

CVSS 4.07.5 ÉLEVÉE

Type de faiblesse

CWE-302

Publiée2025-02-14

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

vdisclose@cert-in.org.in

Description officielle du NVD (en anglais)

This vulnerability exists in RupeeWeb trading platform due to improper implementation of OTP validation mechanism in certain API endpoints. A remote attacker with valid credentials could exploit this vulnerability by manipulating API responses. Successful exploitation of this vulnerability could allow the attacker to bypass Two-Factor Authentication (2FA) for other user accounts.