FICHE CVE

CVE-2026-34236

Publiée le 2026-04-01 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications utilisant le SDK PHP d'Auth0 (versions 8.0.0 à 8.18.x) sont susceptibles d'être victimes de détournement de session en raison d'un chiffrement insuffisant des cookies de session. Un attaquant disposant d'un compte utilisateur standard et d'un accès réseau peut tenter de forcer la clé de chiffrement par brute-force pour falsifier des cookies et usurper l'identité d'autres utilisateurs. Bien que l'impact soit élevé, cette attaque est techniquement difficile à exécuter et nécessite un effort computationnel important.

CVSS 3.18.2 ÉLEVÉE

Type de faiblesse

CWE-331

Publiée2026-04-01

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Auth0-PHP is a PHP SDK for Auth0 Authentication and Management APIs. From version 8.0.0 to before version 8.19.0, in applications built with the Auth0 PHP SDK, cookies are encrypted with insufficient entropy, which may result in threat actors brute-forcing the encryption key and forging session cookies. This issue has been patched in version 8.19.0.