FICHE CVE

CVE-2026-46351

Publiée le 2026-07-16 · Dernière modification le 2026-07-17

🇫🇷 EN BREF

Les salles de classe virtuelles BigBlueButton antérieures à la version 3.0.21 utilisent une méthode prévisible pour générer les jetons de session. Un attaquant disposant déjà d'un compte avec des privilèges limités peut utiliser ce modèle pour deviner les jetons d'autres participants et usurper leur identité afin d'accéder à leur session ou de la modifier. Cette opération peut être effectuée à distance via le réseau, sans aucune interaction de la part de la victime.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

CWE-330

Publiée2026-07-16

Dernière modification2026-07-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

BigBlueButton is an open-source virtual classroom. Prior to 3.0.21, bbb-web generated conference sessionToken values with insufficiently secure randomness in bbb-common-web/src/main/java/org/bigbluebutton/api/Util.java and bigbluebutton-web/grails-app/controllers/org/bigbluebutton/web/controllers/ApiController.groovy, allowing a session user to predict other users' conference session tokens and impersonate them. This issue is fixed in version 3.0.21.