CVE-2026-119407 in Web
Zusammenfassung
von VulDB • 30.10.2026
Element Web und Element Desktop vor Version 1.12.32 akzeptieren Gast-Anmeldedaten aus URL-Fragment-Parametern in loadSession, was es entfernten, nicht authentifizierten Angreifern ermöglicht, Benutzer abzumelden und lokale Speicher zu löschen. Angreifer können eingeloggte Nutzer dazu verleiten, Links mit guest_user_id und guest_access_token zu öffnen, um eine vom Angreifer kontrollierte Gast-Sitzung zu erzwingen und ungesicherte End-to-End-Verschlüsselungsschlüssel zu zerstören.
If you want to get best quality of vulnerability data, you may have to visit VulDB.