FICHE CVE

CVE-2026-100304

Publiée le 2026-09-25 · Dernière modification le 2026-09-25

🇫🇷 EN BREF

Le formulaire d'enquête TDuck 6.0 permet aux utilisateurs authentifiés de consulter des soumissions de formulaires supprimées en demandant un identifiant de données spécifique via le réseau. Un attaquant disposant d'un compte utilisateur basique peut lire des informations personnelles orphelines, à condition de connaître déjà l'identifiant des données supprimées. Cette action est relativement facile à exécuter car elle ne nécessite l'interaction d'aucun tiers, seulement un identifiant de connexion valide et un accès au réseau.

CVSS 4.06.0 MOYENNE

Type de faiblesse

CWE-636

Publiée2026-09-25

Dernière modification2026-09-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

TDuck survey form 6.0 contains an information disclosure vulnerability in FormAuthUtils.hasPermission that fails open when a form does not exist, allowing authenticated users to access deleted form submissions. Attackers can read orphaned submission data including personal information by providing a known dataId to the GET /user/form/data/details endpoint after the form has been permanently deleted.