FICHE CVE

CVE-2026-104356

Publiée le 2026-10-01 · Dernière modification le 2026-10-02

🇫🇷 EN BREF

Les installations de PictShare antérieures à la version 3.7.1 sont affectées par une faille dans la manière dont les jetons d'autorisation pour la suppression de fichiers sont générés. Un attaquant non authentifié disposant d'un accès réseau peut prédire ces jetons pour supprimer des fichiers hébergés sans autorisation. Bien qu'aucune interaction de l'utilisateur ne soit requise, l'attaque est techniquement complexe car elle nécessite de prédire l'état du générateur de nombres aléatoires du système.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

CWE-338

Publiée2026-10-01

Dernière modification2026-10-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

PictShare before version 3.7.1 contains a weak randomness vulnerability where the getRandomString() function uses the non-cryptographic rand() PRNG to generate the delete_code authorization token in src/inc/core.php. Attackers can predict or infer the PRNG state to guess valid delete_code values and perform unauthorized deletion of hosted files without needing to read the code from the info endpoint.