CVE-2026-38968
Publiée le 2026-07-02 · Dernière modification le 2026-07-08
Le logiciel de surveillance réseau ntopng (versions jusqu'à 6.6) utilise une méthode faible pour générer les cookies de session, ce qui les rend prévisibles. Un attaquant non authentifié disposant d'un accès réseau à votre interface web peut deviner un identifiant de session valide pour détourner le compte d'un utilisateur actif, obtenant ainsi un contrôle administratif complet sur le système. Cette attaque ne nécessite aucune interaction de l'utilisateur et est relativement simple à exécuter en raison de la nature prévisible des identifiants.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ntopng through 6.6 is vulnerable to Predictable Session Identifier which can lead to Session Hijacking. HTTP session identifiers in src/HTTPserver.cpp use weak time-seeded pseudo-randomness during session creation. As a result, fresh authenticated logins can receive deterministic or colliding session cookies under attacker-controlled timing.