CVE-2026-34460
Publiée le 2026-06-02 · Dernière modification le 2026-07-22
Les versions 2.2.4 et antérieures du logiciel du site web NamelessMC sont vulnérables à une attaque par permutation de session (session-swapping). Un attaquant non authentifié peut inciter un utilisateur connecté à cliquer sur un lien malveillant, ce qui force le navigateur de la victime à associer sa session au compte de l'attaquant. Bien que cela nécessite une interaction de l'utilisateur, cela permet potentiellement à l'attaquant de capturer des informations sensibles saisies par la victime alors que celle-ci pense être connectée à son propre profil.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
NamelessMC is website software for Minecraft servers. In versions 2.2.4 and prior, the OAuth callback handling does not validate the state parameter server-side before exchanging the authorization code. This allows an attacker to capture a valid OAuth callback URL for their own account and cause a victim's browser to navigate to it, resulting in the victim's session being authenticated as the attacker-linked account (OAuth login CSRF / session swapping). This is patched in version 2.2.5.