CVE-2025-67504
Publiée le 2025-12-09 · Dernière modification le 2026-10-07
Les versions 1.6.4 et antérieures du CMS WBCE utilisent un générateur de nombres aléatoires faible pour la création des mots de passe. Un attaquant non authentifié disposant d'un accès réseau peut prédire ces mots de passe pour détourner des comptes d'utilisateurs ou augmenter ses privilèges. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'accès particulier, l'exécution est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
WBCE CMS is a content management system. Versions 1.6.4 and below use function GenerateRandomPassword() to create passwords using PHP's rand(). rand() is not cryptographically secure, which allows password sequences to be predicted or brute-forced. This can lead to user account compromise or privilege escalation if these passwords are used for new accounts or password resets. The vulnerability is fixed in version 1.6.5.