CVE-2026-119407 in Web
Riassunto
di VulDB • 30/10/2026
Element Web e Element Desktop precedenti alla versione 1.12.32 accettano credenziali da ospite (guest) dai parametri del frammento dell'URL in loadSession, consentendo ad attaccanti remoti non autenticati di disconnettere gli utenti e cancellare i repository locali. Gli attaccanti possono indurre gli utenti connessi ad aprire link contenenti guest_user_id e guest_access_token per forzare una sessione da ospite controllata dall’attaccante ed eliminare le chiavi crittografiche end-to-end non salvate in backup.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.