CVE-2026-75137
Publiée le 2026-09-02 · Dernière modification le 2026-09-03
Les versions d'UpSignOn pour Windows antérieures à la 7.19.0 ne parviennent pas à effacer les données sensibles de la mémoire, ce qui permet à un attaquant disposant d'un accès utilisateur local de récupérer des mots de passe en clair, des noms d'utilisateur et des secrets TOTP. Pour exploiter cette faille, une personne doit déjà posséder un compte sur le système ainsi que les permissions nécessaires pour lire la mémoire du processus de l'application. Puisque cela nécessite un accès local et aucune interaction de l'utilisateur, le risque est principalement limité aux utilisateurs partageant une machine ou aux systèmes déjà compromis par d'autres logiciels malveillants.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
UpSignOn for Windows before 7.19.0 contains a sensitive data exposure vulnerability that allows local attackers to recover cleartext vault data from process memory even after the application has been locked. Attackers can use the PROCESS_VM_READ permission to read the memory space of UpSignOn.exe and extract sensitive fields including entry names, URLs, usernames, passwords, TOTP secrets, and notes.