FICHE CVE

CVE-2026-25235

Publiée le 2026-02-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les systèmes utilisant le framework PHP PEAR avant la version 1.33.0 sont affectés par une faille dans la manière dont les hachages de vérification sont générés. Un attaquant distant peut deviner ces jetons pour autoriser des requêtes de compte d'élection sans avoir besoin d'identifiants ni d'interaction de l'utilisateur. Étant donné que les hachages sont prévisibles et que l'attaque peut être lancée via le réseau, celle-ci est relativement simple à exécuter.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

CWE-337

Publiée2026-02-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

PEAR is a framework and distribution system for reusable PHP components. Prior to version 1.33.0, predictable verification hashes may allow attackers to guess verification tokens and potentially verify election account requests without authorization. This issue has been patched in version 1.33.0.