CVE-2026-102628
Publiée le 2026-10-01 · Dernière modification le 2026-10-11
L'application Cadmos LTI est affectée car elle a été déployée avec le mode débogage de Laravel activé. Un attaquant non authentifié peut déclencher une erreur serveur via une simple requête web pour visualiser toutes les variables d'environnement, y compris des identifiants en texte clair et des secrets de configuration sensibles. Cette opération est facile à exécuter via le réseau et ne nécessite aucun privilège particulier ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Cadmos LTI application hosted at cadmos.eummena.io had Laravel debug mode enabled (APP_DEBUG=true, APP_ENV=local) in a publicly accessible environment. An unauthenticated attacker could send a GET request and trigger an unhandled exception, causing Laravel to expose the entire server environment, including all .env configuration variables, in plaintext. Fixed on or before 2026-09-02.