CVE-2025-64180
Publiée le 2025-11-07 · Dernière modification le 2026-06-17
Le logiciel de comptabilité Manager (versions Desktop et Server 25.11.1.3085 et antérieures) présente une faille dans sa manière de valider les recherches DNS. Un attaquant peut exploiter cette vulnérabilité pour contourner l'isolation du réseau et accéder à des ressources internes, à des points de terminaison de métadonnées cloud ou à d'autres services protégés sur votre réseau privé. Cette attaque est facile à exécuter à distance et ne nécessite aucun privilège spécial ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Manager-io/Manager is accounting software. In Manager Desktop and Server versions 25.11.1.3085 and below, a critical vulnerability permits unauthorized access to internal network resources. The flaw lies in the fundamental design of the DNS validation mechanism. A Time-of-Check Time-of-Use (TOCTOU) condition that allows attackers to bypass network isolation and access internal services, cloud metadata endpoints, and protected network segments. The Desktop edition requires no authentication; the Server edition requires only standard authentication. This issue is fixed in version 25.11.1.3086.