FICHE CVE

CVE-2026-39920

Publiée le 2026-04-24 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions de BridgeHead FileStore antérieures à la 24A laissent un module d'administration exposé au réseau avec des identifiants par défaut. Un attaquant peut utiliser ces identifiants pour charger une archive Java malveillante et exécuter des commandes arbitraires du système d'exploitation sur l'hôte. Cette exploitation est simple à réaliser car elle ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur, et peut être effectuée à distance via le réseau.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-1188 CWE-1391

Publiée2026-04-24

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

BridgeHead FileStore versions prior to 24A (released in early 2024) expose the Apache Axis2 administration module on network-accessible endpoints with default credentials that allows unauthenticated remote attackers to execute arbitrary OS commands. Attackers can authenticate to the admin console using default credentials, upload a malicious Java archive as a web service, and execute arbitrary commands on the host via SOAP requests to the deployed service.