CVE-2026-11374
Publiée le 2026-06-23 · Dernière modification le 2026-06-24
Plusieurs produits ManageEngine, dont ADSelfService Plus et ADAudit Plus, sont affectés par une faille dans la manière dont ils génèrent les tickets d'authentification unique (SSO). Un attaquant distant non authentifié pourrait potentiellement prédire ces tickets pour détourner des comptes d'utilisateurs et prendre le contrôle total du système. Bien que l'attaque soit complexe à exécuter, elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In ManageEngine ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus, and ADAudit Plus, the SSO tickets generated to authenticate that session could be predicted by an unauthenticated user, leading to account takeover.