CVE-2026-54415
Contrôle d'accès brisé dans les routes serveur d'Azuriom CMS permettant la prise de contrôle de compte
- Publié
- 17 juin 2026
- Mise à jour
- 10 août 2026
- Attribution de CNA
- TuranSec
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 40,6 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Une absence d'autorisation dans les routes de gestion du serveur (routes/admin.php) dans Azuriom Azuriom CMS avant 1.2.11 sur toutes les plateformes permet à un attaquant authentifié disposant de la permission admin.access de créer des jetons de serveur AzLink et de prendre le contrôle de comptes utilisateurs non administrateurs en modifiant leurs mots de passe et adresses e-mail via des requêtes HTTP forgées vers /admin/servers/create et les points de terminaison de l'API AzLink (/api/azlink/password, /api/azlink/email, /api/azlink/user/{id}).
Sources
PoC pour CVE-2026-54415 — Azuriom CMS (<1.2.11) Broken Access Control → prise de contrôle de compte
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.