CVE-2026-97877
Publiée le 2026-09-25 · Dernière modification le 2026-09-25
zhistaredu StarTraining (versions jusqu'à 3.8.1) contient une faille dans son gestionnaire de jetons qui permet à un attaquant de contourner l'authentification normale. En manipulant des identifiants d'utilisateur ou d'entreprise spécifiques lors du processus de connexion, un attaquant distant peut accéder au système à l'aide d'un mot de passe codé en dur. Cela ne nécessite aucune authentification préalable ni interaction de l'utilisateur et peut être exécuté via le réseau en utilisant des méthodes d'exploitation publiques.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was determined in zhistaredu StarTraining up to 3.8.1. This issue affects the function UserLoginService.createToken of the file application.yml of the component JWT Token Handler. This manipulation of the argument user_id/company_id causes use of hard-coded password. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.