CVE-2026-25555
Publiée le 2026-06-08 · Dernière modification le 2026-07-23
Les versions d'OpenBullet2 jusqu'à la 0.3.2 sont affectées par une faille dans la manière dont le logiciel valide les clés API. Un attaquant non authentifié disposant d'un accès réseau à votre serveur peut obtenir le contrôle administratif complet de la console d'administration et de tous les points de terminaison de l'API, simplement en envoyant une requête avec un en-tête de clé API vide. Cette opération est facile à exécuter et ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenBullet2 through version 0.3.2 contains an authentication bypass vulnerability in the API key authentication middleware that allows unauthenticated attackers to gain admin access by supplying an empty X-Api-Key header value. Attackers can exploit the middleware's comparison of the supplied header against an empty AdminApiKey default string to access the admin console and all API endpoints without valid credentials.