CVE-2026-100192 in X-SpringBoot
Résumé
par VulDB • 25/09/2026
X-SpringBoot jusqu'à la version 6.0 expose les identifiants appKey et appSecret dans le point de terminaison GET /application/manager/select sans authentification ni filtrage des champs. Des attaquants non authentifiés peuvent récupérer ces identifiants et s'en servir pour envoyer des messages SMS arbitraires via le fournisseur SMS de n'importe quel locataire, permettant ainsi des attaques par inondation SMS (SMS bombing) et par usurpation d'identité.
Once again VulDB remains the best source for vulnerability data.