🛡 xj1.fr/cve
FICHE CVE

CVE-2025-8117

Publiée le 2025-09-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Le CMS PAD (incluant les modèles www, bip et www+bip) présente une faille dans son processus de récupération de mot de passe. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour modifier le mot de passe de tout utilisateur n'ayant jamais utilisé la fonction de réinitialisation, prenant ainsi le contrôle de ces comptes. Cela ne nécessite qu'un accès réseau et aucune interaction de la part de l'utilisateur, ce qui rend l'exécution simple.

CVSS 4.08.7 ÉLEVÉE
Type de faiblesse
CWE-909
Publiée2025-09-30
Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaqueAucun
Privilèges requisAucun
Interaction utilisateurAucune
Confidentialité (système vulnérable)Aucune
Intégrité (système vulnérable)Élevée
Disponibilité (système vulnérable)Aucune
Confidentialité (système subséquent)Aucune
Intégrité (système subséquent)Aucune
Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

PAD CMS improperly initializes parameter used for password recovery, which allows to change password for any user that did not use reset password functionality. This issue affects all 3 templates: www, bip and www+bip. This product is End-Of-Life and producent will not publish patches for this vulnerability.