FICHE CVE

CVE-2026-46474

Publiée le 2026-05-15 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications utilisant Trog::TOTP (versions antérieures à 1.006) pour Perl sont concernées car elles génèrent des secrets d'authentification à deux facteurs à l'aide d'un générateur de nombres aléatoires prévisible. Un attaquant disposant d'un accès réseau peut potentiellement prédire ces secrets pour contourner l'authentification multifactorielle (MFA) et obtenir un accès non autorisé aux comptes utilisateurs. Cela peut être réalisé à distance, sans nécessiter d'authentification préalable ni aucune interaction de la part de la victime.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-331

Publiée2026-05-15

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Trog::TOTP versions before 1.006 for Perl generate secrets using rand. Secrets were generated using Perl's built-in rand function, which is predictable and unsuitable for security usage.