CVE-2025-27580
Publiée le 2025-04-24 · Dernière modification le 2026-06-17
Les versions de NIH BRICS jusqu'à la 14.0.0-67 sont affectées par une faille où les jetons de sécurité sont générés selon des modèles prévisibles. Un attaquant disposant d'une carte d'accès commune (CAC) peut utiliser ces modèles pour usurper n'importe quel compte utilisateur, y compris ceux ayant des privilèges d'administrateur. Bien que cela nécessite un accès au réseau et des identifiants spécifiques, la complexité de l'attaque est élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
NIH BRICS (aka Biomedical Research Informatics Computing System) through 14.0.0-67 generates predictable tokens (that depend on username, time, and the fixed 7Dl9#dj- string) and thus allows unauthenticated users with a Common Access Card (CAC) to escalate privileges and compromise any account, including administrators.