CVE-2026-11347
Publiée le 2026-06-05 · Dernière modification le 2026-06-17
L'application linqi stocke les identifiants de la base de données sous forme de chaînes chiffrées, en utilisant des clés codées en dur et une méthode de chiffrement faible. Un attaquant disposant d'un accès local avec des privilèges restreints sur le système peut facilement déchiffrer ces chaînes pour voler les détails de connexion sensibles à la base de données. Aucune interaction de l'utilisateur ni condition particulière n'est requise, si ce n'est la possession d'un compte local sur le serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The linqi application contains hardcoded cryptographic keys. Additionally, the application uses a weak algorithm with a limited ASCII charset to dynamically generate Initialization Vectors (IVs) for AES/CBC encryption, making known-plaintext attacks feasible. An attacker with local access can leverage these vulnerabilities to decrypt sensitive obfuscated strings, including ConnectionString values containing database credentials from appsettings.json.