CVE-2026-61500
Rejetto HFS 3.0.0 à 3.2.0 dérive sa clé de signature des cookies de session du générateur non cryptographique Math.random() et divulgue les sorties de ce même générateur à des clients non authentifiés lors de la connexion. Un attaquant distant peut collecter un petit nombre de réponses de connexion, reconstruire l’état du générateur, récupérer la clé de signature et falsifier un cookie de session administrateur valide, ce qui lui donne un accès administratif complet et permet l’exécution de code à distance via la fonctionnalité de configuration server_code.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 1 oct. 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 79 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 5 oct. 2026 4 oct. 2026 2 oct. 2026 2 oct. 2026 2 oct. 2026 1 oct. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HArticles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.