CVE-2026-111367
Publiée le 2026-10-15 · Dernière modification le 2026-10-21
Les versions de BillionMail jusqu'à la 4.9 sont affectées par une faille dans la manière dont le logiciel gère les JSON Web Tokens (JWT). Ces jetons sont utilisés pour vérifier les requêtes de gestion des abonnements aux e-mails. Comme la clé cryptographique utilisée pour signer ces jetons est codée en dur et peut être dérivée des constantes de configuration du logiciel, elle n'est pas secrète.
Un attaquant non authentifié disposant d'un accès réseau peut utiliser cette clé pour forger des jetons valides. Cela lui permet de désactiver n'importe quel contact dans le système ou de forcer des utilisateurs à s'abonner sans leur consentement. L'attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
BillionMail through 4.9 contains a hard-coded cryptographic key vulnerability that allows unauthenticated attackers to forge unsubscribe and subscribe-confirm JWTs by computing the key from shipped configuration constants. Attackers can submit forged tokens to /api/unsubscribe, /api/unsubscribe_new, or /api/subscribe/confirm to deactivate any contact or force confirmed subscriptions.