FICHE CVE

CVE-2026-100306

Publiée le 2026-09-25 · Dernière modification le 2026-09-25

🇫🇷 EN BREF

Le logiciel de formulaire de sondage TDuck (version 6.0 et versions antérieures) présente une faille où la protection par mot de passe est vérifiée uniquement dans le navigateur, et non sur le serveur. Un attaquant distant peut contourner ces mots de passe pour soumettre des entrées factices ou malveillantes directement dans votre formulaire en utilisant simplement le lien de partage public. Cela ne nécessite ni authentification ni interaction de l'utilisateur, ce qui rend l'exécution triviale pour toute personne ayant un accès réseau à votre serveur.

CVSS 4.06.9 MOYENNE

Type de faiblesse

CWE-602

Publiée2026-09-25

Dernière modification2026-09-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

TDuck survey form through 6.0 fails to validate write passwords on submission endpoints, enforcing the check only on the front end. Remote unauthenticated attackers can submit form entries directly to public submission APIs without providing the password by using the form key from share links.