FICHE CVE

CVE-2026-63149

Publiée le 2026-10-13 · Dernière modification le 2026-10-15

🇫🇷 EN BREF

Les versions d'Omnispace Agora Project antérieures à la 26.10.0 utilisent une méthode prévisible pour générer les mots de passe temporaires des comptes, basée sur l'heure système du serveur. Un attaquant distant non authentifié, capable d'estimer précisément le moment où un compte a été créé, peut calculer le mot de passe et détourner le compte. Bien que l'attaque nécessite une grande précision pour synchroniser la requête, elle ne requiert aucune interaction de l'utilisateur ni d'accès préalable au système.

CVSS 4.09.1 CRITIQUE

Type de faiblesse

CWE-330

Publiée2026-10-13

Dernière modification2026-10-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Omnispace Agora Project before 26.10.0 contains an insecure randomness vulnerability that allows attackers to predict temporary or default account passwords generated by Txt::defaultPassword() using PHP's uniqid() function based on server time in microseconds. Attackers who observe or approximate the account creation time can compute the predictable password and take over the account before the legitimate user logs in.