CVE-2025-66027
Publiée le 2025-11-29 · Dernière modification le 2026-10-07
Les installations de Rallly scheduling antérieures à la version 4.5.6 sont affectées par une faille qui expose les noms et les adresses e-mail des participants aux sondages. Un utilisateur authentifié peut récupérer ces informations privées via le réseau en interrogeant un point de terminaison API spécifique, contournant ainsi les paramètres de confidentialité de la version Pro. L'attaque est simple à exécuter car elle ne nécessite aucun privilège particulier au-delà d'un compte de base, ni aucune interaction de la part des victimes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Rallly is an open-source scheduling and collaboration tool. Prior to version 4.5.6, an information disclosure vulnerability exposes participant details, including names and email addresses through the /api/trpc/polls.get,polls.participants.list endpoint, even when Pro privacy features are enabled. This bypasses intended privacy controls that should prevent participants from viewing other users’ personal information. This issue has been patched in version 4.5.6.