FICHE CVE

CVE-2026-40039

Publiée le 2026-04-13 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Pachno 1.0.6 permet à des attaquants de rediriger les utilisateurs vers des sites web externes malveillants en manipulant le paramètre `return_to` dans une URL de connexion. Un attaquant peut utiliser cette faille pour créer des pages de phishing convaincantes conçues pour voler les identifiants des utilisateurs. Cela ne nécessite aucun privilège ou authentification particulière, mais repose sur le fait qu'un utilisateur clique sur un lien spécialement conçu.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-305

Publiée2026-04-13

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Pachno 1.0.6 contains an open redirection vulnerability that allows attackers to redirect users to arbitrary external websites by manipulating the return_to parameter. Attackers can craft malicious login URLs with unvalidated return_to values to conduct phishing attacks and steal user credentials.