FICHE CVE

CVE-2026-75106

Publiée le 2026-08-17 · Dernière modification le 2026-10-01

🇫🇷 EN BREF

Les installations d'OpnForm sont concernées car elles utilisent une méthode prévisible pour générer les clés secrètes liées à l'envoi des formulaires. Un attaquant distant non authentifié peut calculer ces clés pour lire des données de soumission privées ou écraser des réponses existantes. Cette opération est facile à exécuter car elle ne nécessite qu'un accès réseau et aucune interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-340

Publiée2026-08-17

Dernière modification2026-10-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpnForm derives editable-submission secrets from sequential row identifiers using Hashids with an empty default salt, allowing unauthenticated attackers to compute hashes for any submission. Attackers can read other respondents' full submission data through the submission-fetch endpoint or overwrite submissions by supplying predicted hashes to the answer endpoint.