FICHE CVE

CVE-2026-11764

Publiée le 2026-06-09 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

concerne la fonctionnalité d'exportation de médias de l'application, où des secrets de cartes-cadeaux sensibles sont accidentellement inclus dans les fichiers d'exportation. Un attaquant disposant de privilèges administratifs de haut niveau peut utiliser cette faille pour contourner les limites de permissions et consulter l'intégralité des secrets de cartes-cadeaux auxquels l'accès lui est normalement restreint. Bien que cela nécessite un accès réseau et un compte doté de privilèges élevés, l'exécution est simple une fois ces conditions réunies.

CVSS 4.03.6 FAIBLE

Type de faiblesse

CWE-280

Publiée2026-06-09

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

655498c3-6ec5-4f0b-aea6-853b334d05a6

Description officielle du NVD (en anglais)

When creating an export of all reusable media, the secrets of connected gift cards were included in the export even if the user creating the export does not have permission to view gift cards. This is inconsistent with the UI and API where only the first letters of the gift card secret are shown. Therefore, it allows circumventing a permission boundary.