CVE-2026-120223
Publiée le 2026-11-01 · Dernière modification le 2026-11-02
Les versions d'Oray Pugongying X5 Pro jusqu'à la version 7.6.1 sont concernées. Ce logiciel offre des fonctionnalités d'accès et de gestion à distance, et la faille se situe dans le script Lua du composant de gestion des sessions. Plus précisément, la manipulation de l'argument utilisateur permet à un attaquant de forcer le système à générer des valeurs de session qui ne sont pas suffisamment aléatoires.
Un attaquant disposant d'un accès authentifié de bas niveau peut tenter à distance de prédire ou de détourner des sessions, compromettant potentiellement la confidentialité de la session d'un utilisateur. Cependant, la complexité de l'attaque est élevée et l'exploitation est difficile à exécuter avec succès. Comme elle nécessite des identifiants existants ainsi qu'un timing ou des conditions précises, le risque global pour votre système est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was identified in Oray Pugongying X5 Pro up to 7.6.1. This impacts the function session_get of the file session.lua of the component Session ID Handler. The manipulation of the argument _user leads to insufficiently random values. The attack can be initiated remotely. The attack's complexity is rated as high. The exploitability is said to be difficult. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.