FICHE CVE

CVE-2026-25072

Publiée le 2026-03-07 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les commutateurs réseau XikeStor SKS8310-8X utilisant le firmware 1.04.B07 ou une version antérieure sont vulnérables au détournement de session en raison de l'utilisation d'identifiants de session prévisibles. Un attaquant distant peut deviner ces identifiants pour prendre le contrôle d'une session administrateur active et ainsi obtenir le contrôle total de l'appareil. Bien que l'attaque soit techniquement facile à exécuter sur le réseau sans authentification préalable, elle nécessite généralement qu'un utilisateur légitime soit actuellement connecté au système.

CVSS 4.08.6 ÉLEVÉE

Type de faiblesse

CWE-330

Publiée2026-03-07

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

XikeStor SKS8310-8X Network Switch firmware versions 1.04.B07 and prior contain a predictable session identifier vulnerability in the /goform/SetLogin endpoint that allows remote attackers to hijack authenticated sessions. Attackers can predict session identifiers using insufficiently random cookie values and exploit exposed session parameters in URLs to gain unauthorized access to authenticated user sessions.