FICHE CVE
CVE-2026-35383
Publiée le 2026-04-02 · Dernière modification le 2026-07-24
🇫🇷 EN BREF
La plateforme iTwin de Bentley Systems a laissé fuiter un jeton d'accès Cesium ion dans le code source de certaines pages web. Un attaquant non authentifié disposant d'un accès réseau aurait pu utiliser ce jeton pour lister ou supprimer des actifs spécifiques sans interaction de l'utilisateur. Ce problème a été résolu en supprimant le jeton des pages concernées.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaqueAucun
Privilèges requisAucun
Interaction utilisateurAucune
Confidentialité (système vulnérable)Faible
Intégrité (système vulnérable)Aucune
Disponibilité (système vulnérable)Faible
Confidentialité (système subséquent)Aucune
Intégrité (système subséquent)Aucune
Disponibilité (système subséquent)Aucune
RÉFÉRENCES
Description officielle du NVD (en anglais)
Bentley Systems iTwin Platform exposed a Cesium ion access token in the source of some web pages. An unauthenticated attacker could use this token to enumerate or delete certain assets. As of 2026-03-27, the token is no longer present in the web pages and cannot be used to enumerate or delete assets.