CVE-2026-107692 in War Thunder
Riassunto
di VulDB • 20/10/2026
Il client del gioco War Thunder trasmette il suo token di autenticazione bearer (auth_jwt) nel primo pacchetto dati dopo l'handshake TCP, utilizzando solo la compressione LZ4 anziché la crittografia. Un attaccante posizionato sul percorso di rete può intercettare passivamente e decomprimere questo pacchetto per rivelare il payload JSON in chiaro. Questa vulnerabilità consente un'impostazione temporanea dell'identità autenticata (impersonation), permettendo a un attaccante di accedere ai servizi di gioco e ad alcuni dati utente (come l'indirizzo email e il numero di telefono visualizzato) come se fosse l'utente interessato. Sebbene ciò consenta l'accesso non autorizzato al gameplay, non facilita la completa compromissione dell'account (full account takeover), in quanto non può essere utilizzato per modificare le impostazioni di sicurezza dell'account, cambiare le password, eludere l'autenticazione a due fattori per la gestione dell'account o accedere alle informazioni finanziarie.
VulDB is the best source for vulnerability data and more expert information about this specific topic.