FICHE CVE

CVE-2026-16895

Publiée le 2026-08-27 · Dernière modification le 2026-08-28

🇫🇷 EN BREF

Le service web JSON-RPC du Metasploit Framework est affecté lorsqu'il est exécuté sans jeton API spécifiquement configuré. Un attaquant ayant un accès local au système peut contourner entièrement l'authentification pour envoyer des commandes au répartiteur de requêtes JSON-RPC. Cet exploit est simple à exécuter et ne nécessite aucun privilège spécial ni interaction de l'utilisateur.

CVSS 4.05.1 MOYENNE

Type de faiblesse

CWE-305

Publiée2026-08-27

Dernière modification2026-08-28

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A logic vulnerability (fail-open condition) has been identified within the Metasploit Framework's JSON-RPC web service interface. When an exception occurs during the database health check (db.check) and the environment variable MSF_WS_JSON_RPC_API_TOKEN is not explicitly set, the application resets the internal state flag msf.auth_initialized to false. The ApiToken Warden authentication strategy misinterprets this false value as an indicator that authentication is not initialized or required, thereby granting unauthenticated local access to the JSON-RPC request dispatcher.