FICHE CVE

CVE-2025-3895

Publiée le 2025-05-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs du logiciel MegaBIP sont exposés à un risque car les jetons de réinitialisation de mot de passe sont générés selon un schéma prévisible. Un attaquant non authentifié ayant un accès au réseau et connaissant un nom d'utilisateur peut tester ces jetons par force brute pour réinitialiser le mot de passe de n'importe quel compte, y compris ceux des administrateurs. Cette attaque est relativement facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de la part de l'utilisateur.

CVSS 4.09.1 CRITIQUE

Type de faiblesse

CWE-334

Publiée2025-05-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Token used for resetting passwords in MegaBIP software are generated using a small space of random values combined with a queryable value. It allows an unauthenticated attacker who know user login names to brute force these tokens and change account passwords (including these belonging to administrators). Version 5.20 of MegaBIP fixes this issue.