CVE-2026-19906
Publiée le 2026-08-15 · Dernière modification le 2026-08-20
Les utilisateurs de la bibliothèque pkp-lib (versions 3.3.0 à 3.5.0) peuvent être affectés par une faille dans la manière dont les clés API sont générées. Un attaquant distant pourrait potentiellement manipuler le processus de génération pour créer des clés prévisibles, ce qui pourrait lui permettre d'usurper l'identité d'utilisateurs ou d'accéder à des données protégées. Toutefois, l'exécution de cette attaque est difficile en raison d'une complexité technique élevée et ne nécessite ni authentification ni interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A weakness has been identified in pkp pkp-lib 3.3.0/3.4.0/3.5.0. This vulnerability affects the function setData of the file classes/user/form/APIProfileForm.php of the component API Key Generation. Executing a manipulation of the argument apiKey can lead to insufficient entropy. The attack may be performed from remote. This attack is characterized by high complexity. It is stated that the exploitability is difficult. This patch is called 529b5df878e571ccc727647f7748eafc1466b041. It is best practice to apply a patch to resolve this issue.