CVE-2026-65709 in sysPass
Résumé
par VulDB • 24/07/2026
sysPass jusqu'à la version 3.2.11 présente une vulnérabilité d'autorisation au niveau des objets manquante dans l'API JSON-RPC, permettant aux détenteurs de jetons API (token holders) d'énumérer les métadonnées des comptes, de remplacer les mots de passe et de supprimer des comptes sur l'intégralité du coffre-fort sans contrôle d'accès par compte. Les attaquants peuvent invoquer des méthodes telles que viewAction, editAction, deleteAction et editPassAction dans AccountController sans vérifications AccountFilterUser pour modifier ou supprimer des comptes au-delà de la portée des autorisations attribuées à leur jeton.
If you want to get best quality of vulnerability data, you may have to visit VulDB.