TYPE DE FAIBLESSE

CWE-338

54 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-338 (en anglais) →

CVE-2026-53953GetSimple CMS CE (version 3.3.22) est affecté par une faille dans son processus de réinitialisation de mot de passe qui permet à un attaquant distant de prendre le contrôle de comp… 9.1 CRITIQUE

CVE-2026-79901Les systèmes utilisant `boks_keytabmd` pour la gestion des keytabs Active Directory sont concernés car ils génèrent des mots de passe de comptes de service à l'aide d'une séquence … 9.9 CRITIQUE

CVE-2026-92749Les versions de SafeLine jusqu'à la 9.4.1 sont affectées par une faille dans la manière dont la console de gestion génère ses clés de signature de session. Un attaquant distant non… 9.2 CRITIQUE

CVE-2026-73567Les applications utilisant la bibliothèque JavaScript `sm-crypto` (avant la version 0.5.0) sous Node.js sont concernées car elles utilisent un générateur de nombres aléatoires prév… 9.1 CRITIQUE

CVE-2026-71851Les applications utilisant la bibliothèque crypto-js (versions antérieures à 4.0.0) pour générer des clés de sécurité — plus précisément les portefeuilles de cryptomonnaies l'utili… 9.0 CRITIQUE

CVE-2026-64798Les serveurs utilisant l'extension Regular Labs IP Login pour Joomla sont affectés par une vulnérabilité dans la manière dont les clés de connexion sont générées. Un attaquant dist… 9.1 CRITIQUE

CVE-2026-16235Les applications Perl utilisant la bibliothèque Crypt::Password (version 0.28 ou antérieure) génèrent des sels prévisibles, ce qui rend les hachages de mots de passe stockés nettem… 9.8 CRITIQUE

CVE-2026-9323Les applications utilisant le backend d'affichage web Urwid sont vulnérables au détournement de session car les identifiants de session sont générés à l'aide d'un générateur de nom… 9.2 CRITIQUE

CVE-2026-63089WireGuard Easy (version 15.3.0 et versions antérieures) utilise un système de jetons faible pour générer des liens de configuration à usage unique. Un attaquant non authentifié aya… 9.0 CRITIQUE

CVE-2026-61500Rejetto HFS (versions 3.0.0 à 3.2.0) est affecté par une faille dans sa manière de générer les clés de session. Un attaquant distant peut collecter quelques réponses de connexion p… 9.3 CRITIQUE

CVE-2026-7874IBM Langflow (versions 1.0.0 à 1.10.0) utilise une méthode de chiffrement faible qui permet à un attaquant de retrouver les clés et de déchiffrer tous les identifiants stockés. Com… 9.1 CRITIQUE

CVE-2026-9733Les applications Perl utilisant le plugin Mojolicious OAuth2 (version 0.17 et versions antérieures) sont vulnérables au détournement de session. Un attaquant peut prédire les jeton… 9.1 CRITIQUE

CVE-2026-56141Les installations de JetBrains Hub sont affectées par une faille rendant les codes de récupération de compte prévisibles. Un attaquant distant peut utiliser ces codes pour détourne… 9.8 CRITIQUE

CVE-2026-11832Les applications utilisant le module Perl Dancer2::Plugin::Auth::OAuth avant la version 0.22 sont affectées par un jeton de sécurité (nonce) prévisible. Un attaquant non authentifi… 9.1 CRITIQUE

CVE-2026-47372Les applications Perl utilisant le module `Crypt::SaltedHash` (version 0.09 et versions antérieures) génèrent des sels prévisibles, ce qui rend le cassage des hachages de mots de p… 9.1 CRITIQUE

CVE-2026-42155Les versions Magento Long Term Support (LTS) antérieures à la 20.18.0 sont affectées par la prévisibilité des identifiants de session dans les API XML-RPC et SOAP. Un attaquant non… 9.3 CRITIQUE

CVE-2026-5085Les applications Perl utilisant le module Solstice::Session (version 1440 et antérieures) génèrent des identifiants de session à l'aide de valeurs prévisibles plutôt que d'un vérit… 9.1 CRITIQUE

CVE-2025-15618Les applications Perl utilisant le module `Business::OnlinePayment::StoredTransaction` (version 0.01 et antérieures) sont concernées car elles utilisent une méthode prévisible pour… 9.1 CRITIQUE

CVE-2026-3256Les applications Perl utilisant le module HTTP::Session (versions antérieures à 0,54) génèrent des identifiants de session à l'aide de données prévisibles et de générateurs de nomb… 9.8 CRITIQUE

CVE-2025-15604Les applications web Amon2 (versions antérieures à 6.17) utilisent une méthode prévisible pour générer des chaînes de sécurité si le dispositif aléatoire du système est indisponibl… 9.8 CRITIQUE

CVE-2026-4599Les applications utilisant la bibliothèque JavaScript `jsrsasign` (versions 7.0.0 à 11.1.1) pour les signatures numériques sont concernées. Un attaquant peut récupérer la clé privé… 9.3 CRITIQUE

CVE-2024-57854Les applications Perl utilisant la bibliothèque `Net::NSCA::Client` (version 0.009002 et versions antérieures) sont affectées par l'utilisation d'un générateur de nombres aléatoire… 9.1 CRITIQUE

CVE-2025-40931Les applications Perl utilisant le module `Apache::Session::Generate::MD5` sont concernées car elles génèrent des identifiants de session à partir de valeurs prévisibles. Un attaqu… 9.1 CRITIQUE

CVE-2025-40926Les applications Perl utilisant Plack::Middleware::Session::Simple avant la version 0.05 génèrent des identifiants de session prévisibles car elles s'appuient sur des générateurs d… 9.8 CRITIQUE

CVE-2024-58041Les applications Perl utilisant Smolder version 1.51 ou antérieure sont concernées car le logiciel utilise un générateur de nombres aléatoires non sécurisé pour des tâches cryptogr… 9.1 CRITIQUE

CVE-2026-2439Les applications utilisant le module Perl `Concierge::Sessions` (versions 0.8.1 à 0.8.4) sont affectées par une faille dans la manière dont les identifiants de session sont générés… 9.8 CRITIQUE

CVE-2025-15578Maypole (versions 2.10 à 2.13) pour Perl utilise des valeurs prévisibles, telles que l'heure du système et les identifiants de processus, pour générer des identifiants de session. … 9.8 CRITIQUE

CVE-2025-66630Les applications conçues avec le framework web Fiber sur des versions de Go antérieures à la 1.24 sont concernées. Un attaquant pourrait potentiellement contourner des contrôles de… 9.2 CRITIQUE

CVE-2025-67504Les versions 1.6.4 et antérieures du CMS WBCE utilisent un générateur de nombres aléatoires faible pour la création des mots de passe. Un attaquant non authentifié disposant d'un a… 9.1 CRITIQUE

CVE-2025-66565Les applications utilisant Fiber Utils version 2.0.0-rc.3 ou antérieure sont concernées si le générateur de nombres aléatoires de leur système échoue. Dans ces cas, le logiciel gén… 9.3 CRITIQUE

CVE-2025-59390Les installations d'Apache Druid utilisant l'authentification Kerberos sont concernées si un secret de signature de cookie personnalisé n'a pas été configuré manuellement. Un attaq… 9.8 CRITIQUE

CVE-2024-58040Les applications Perl utilisant la bibliothèque Crypt::RandomEncryption (version 0.01) sont concernées car elles s'appuient sur un générateur de nombres aléatoires non sécurisé pou… 9.1 CRITIQUE

CVE-2025-40925Les applications web Starch (version 0.14 et versions antérieures) utilisent une méthode prévisible pour générer les identifiants de session, ce qui les rend vulnérables aux tentat… 9.1 CRITIQUE

CVE-2025-54883Les projets web utilisant Vision UI (version 1.4.0 et versions antérieures) sont affectés par une faille dans la manière dont le système génère des nombres aléatoires sécurisés. Un… 9.3 CRITIQUE

CVE-2025-40916Les applications web utilisant le module Perl Mojolicious::Plugin::CaptchaPNG (version 1.05) utilisent un générateur de nombres aléatoires prévisible pour créer des captchas. Un at… 9.1 CRITIQUE

CVE-2025-3495Les versions 1 et 2 de Delta Electronics COMMGR génèrent des identifiants de session trop prévisibles, ce qui permet à un attaquant de deviner une session valide par force brute. U… 9.8 CRITIQUE

CVE-2025-32755Les images Docker des agents SSH Jenkins basées sur Debian partagent les mêmes clés d'hôte SSH codées en dur pour tous les conteneurs d'une même version. Un attaquant positionné su… 9.1 CRITIQUE

CVE-2025-32754Les images Docker `ssh-agent` de Jenkins (v6.11.1 et versions antérieures) basées sur Debian utilisent des clés d'hôte SSH identiques pour tous les conteneurs déployés. Un attaquan… 9.1 CRITIQUE

CVE-2024-40762Les passerelles SSLVPN de SonicWall sont affectées par une faille dans leur méthode de génération de jetons d'authentification. Un attaquant non authentifié disposant d'un accès ré… 9.8 CRITIQUE

CVE-2024-29868Les versions 0.69.0 à 0.93.0 d'Apache StreamPipes utilisent une méthode prévisible pour générer les jetons de récupération de mot de passe. Un attaquant non authentifié disposant d… 9.1 CRITIQUE

CVE-2023-36993Les versions 8.3.3 et 8.3.4 de TravianZ utilisent un générateur de nombres aléatoires prévisible dans leur processus de réinitialisation de mot de passe. Un attaquant non authentif… 9.8 CRITIQUE

CVE-2023-2884Les versions du chatbot CBOT antérieures à Core v4.0.3.4 et Panel v4.0.3.7 utilisent un générateur de nombres aléatoires faible qui permet aux attaquants de recréer des clés de séc… 9.8 CRITIQUE

CVE-2022-35255Les applications Node.js 18 utilisant l'API WebCrypto pour la génération de clés sont affectées par une faille qui produit des clés cryptographiquement faibles. Un attaquant pourra… 9.1 CRITIQUE

CVE-2022-44796Object First Ootbi (version BETA 1.0.7.712) est affecté par une faille dans la manière dont il génère les jetons de sécurité pour son interface web. Un attaquant ayant un accès rés… 9.8 CRITIQUE

CVE-2022-36045Les installations du forum NodeBB sont affectées par une faille dans la manière dont les codes de réinitialisation de mot de passe sont générés. Un attaquant non authentifié dispos… 9.0 CRITIQUE

CVE-2011-4574Les versions de PolarSSL antérieures à la version 1.1 sont vulnérables lorsqu'elles sont exécutées sur certains hôtes de machines virtuelles fournissant des données de chronométrag… 9.8 CRITIQUE

CVE-2021-3538Les applications utilisant la bibliothèque `go.uuid` pour générer des identifiants uniques peuvent produire des ID prévisibles au lieu d'ID réellement aléatoires. Un attaquant non … 9.8 CRITIQUE

CVE-2019-14480Les clients web d'AdRem NetCrunch 10.6.0.4587 sont sensibles à une gestion incorrecte des sessions, ce qui permet à un attaquant de contourner l'authentification ou d'élever ses pr… 9.8 CRITIQUE

CVE-2020-28642Les panneaux d'administration InfiniteWP antérieurs à la version 3.1.12.3 sont affectés par une faille qui génère des codes de réinitialisation de mot de passe prévisibles. Un atta… 9.8 CRITIQUE

CVE-2015-9435Les sites WordPress utilisant la version 3.1.4 ou antérieure de l'extension oauth2-provider sont affectés par une faiblesse dans la génération des nombres aléatoires. Un attaquant … 9.8 CRITIQUE