CVE-2026-61500
Publiée le 2026-07-13 · Dernière modification le 2026-10-24
Rejetto HFS (versions 3.0.0 à 3.2.0) est affecté par une faille dans sa manière de générer les clés de session. Un attaquant distant peut collecter quelques réponses de connexion pour prédire la clé de signature du serveur, lui permettant ainsi de forger un cookie d'administrateur et de prendre le contrôle total du serveur, y compris la possibilité d'exécuter du code arbitraire. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et peut être effectuée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random() generator and discloses outputs of the same generator to unauthenticated clients during login. A remote attacker can collect a small number of login responses, reconstruct the generator's state, recover the signing key, and forge a valid administrator session cookie, leading to full administrative access and remote code execution via the server_code configuration feature.