CVE-2026-120447
Publiée le 2026-11-02 · Dernière modification le 2026-11-03
Les versions 2.8.4 à 2.15.1 de HotGo sont affectées par une faille dans le processus de connexion par SMS. Le logiciel permet aux utilisateurs de s'authentifier via un code de vérification envoyé sur leur téléphone mobile. Cependant, un bug dans le point de terminaison `/admin/sms/send` permet à l'émetteur de spécifier lui-même le code de vérification au lieu de laisser le système en générer un aléatoire.
Un attaquant disposant d'un accès réseau et du numéro de mobile d'une cible peut définir un code connu et l'utiliser pour se connecter, lui octroyant ainsi le contrôle total des comptes utilisateurs ou administrateurs. Cela entraîne une perte totale de confidentialité, d'intégrité et de disponibilité pour les comptes compromis. L'attaque ne nécessite ni authentification ni interaction de l'utilisateur et est relativement facile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
HotGo 2.8.4 through 2.15.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to choose the SMS login verification code by supplying the Code field to /admin/sms/send. Attackers who know a user's mobile number can set a known code and sign in through /admin/site/mobileLogin to take over accounts, including administrators.