CVE-2026-53497
Publiée le 2026-08-21 · Dernière modification le 2026-10-12
Les moteurs de synchronisation CrossWatch antérieurs à la version 0.9.21 exposent des métadonnées de session via un point de terminaison API non protégé. Un attaquant non authentifié disposant d'un accès réseau peut récupérer à distance une liste d'identifiants de session actifs, de chaînes user-agent et d'adresses IP. Bien que cela ne permette pas de prendre le contrôle direct du système, cela fournit des données de reconnaissance qui pourraient être utilisées pour cibler des utilisateurs ou des sessions spécifiques.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
CrossWatch (CW) is a synchronization engine. Prior to version 0.9.21, GET /api/app-auth/status is accessible without authentication and returns the other_sessions array, which exposes metadata of all active sessions — including originating IP addresses, User-Agent strings, internal session IDs, and creation/expiry timestamps. Any unauthenticated network attacker can enumerate this data without credentials. Version 0.9.21 fixes the issue.