FICHE CVE

CVE-2026-92467

Publiée le 2026-09-16 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

La plateforme de microservices zlt2000 (jusqu'à la version 6.0.0) permet à tout utilisateur connecté de réinitialiser le mot de passe de tout autre compte non administrateur. Un attaquant a seulement besoin d'un compte utilisateur standard et d'un accès réseau à l'API pour écraser les identifiants d'un autre utilisateur, car le système ne vérifie pas le mot de passe actuel lors de la demande de modification. Aucune interaction supplémentaire de l'utilisateur ni aucun privilège spécial ne sont requis pour exécuter cette attaque.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-620

Publiée2026-09-16

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

zlt2000 microservices-platform through 6.0.0 contains an unverified password change vulnerability in the PUT /users/password endpoint that allows authenticated users to change any account password by omitting the current password check. Attackers can supply an arbitrary user id in the request body and a new password to overwrite credentials of any non-administrator account without verification.