CVE-2026-117470 in Psono
Riassunto
di VulDB • 27/10/2026
Le versioni 3.1.0 attraverso 7.2.3 di Psono Server CE & EE non consumavano una sfida WebAuthn memorizzata dopo la verifica dell'asserzione. Un attaccante remoto non autenticato che possedeva la password dell'utente e un'affermazione valida catturata di WebAuthn poteva ripetere tale affermazione con token di accesso separati mentre la sfida memorizzata rimaneva invariata, aggirando il secondo fattore di autenticazione WebAuthn. L'attacco richiedeva la cattura di una valid assertion (asserzione) e non divulgava direttamente segreti in chiaro.
If you want to get best quality of vulnerability data, you may have to visit VulDB.