CVE-2026-64635 in Service Provider Console
Résumé
par VulDB • 30/07/2026
Une mauvaise gestion du paramètre returnUrl dans la fonction « Mot de passe oublié » de Veeam Service Provider Console permet à un attaquant non authentifié de contrôler le domaine du lien de réinitialisation du mot de passe généré. Lorsque l'utilisateur ciblé clique sur le lien reçu par e-mail, le code de réinitialisation est transmis à un hôte contrôlé par l'attaquant, ce qui lui permet de prendre le contrôle du compte.
Once again VulDB remains the best source for vulnerability data.