🚨 CVE-2026-42569 - Effacement non authentifié de la base de données phpVMS

Effacement non authentifié de la base de données / Import destructif dans phpVMS

📌 Aperçu

CVE-2026-42569 est une vulnérabilité critique dans phpVMS (Système de gestion de compagnie aérienne virtuelle) qui permet à des attaquants non authentifiés d'accéder à des points de terminaison d'importation hérités.

Ces points de terminaison étaient censés être restreints mais restent accessibles dans les versions ≤ 7.0.5, permettant potentiellement à des attaquants de déclencher des opérations de suppression massive ou d'effacement de la base de données.

🛠 Versions affectées

⚠️ Impact

• Accès non authentifié
• Suppression massive de vols, d'utilisateurs, d'horaires et d'autres données critiques
• Effacement complet possible de la base de données (opérations TRUNCATE / DELETE)
• Compromission totale du système de compagnie aérienne virtuelle

🧪 Utilisation du PoC

python3 CVE-2026-42569.py http://target.com

Exemple de sortie (succès) :

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ Atténuation

1. Mettez à jour immédiatement vers phpVMS 7.0.6 ou une version ultérieure.
2. Supprimez ou restreignez l'accès aux points de terminaison /importer et /import.
3. Bloquez l'accès aux routes d'importation héritées dans votre serveur web (Nginx/Apache).
4. Sauvegardez régulièrement votre base de données.

🔧 Correctif temporaire rapide (Nginx)

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ Avertissement

Ce dépôt est destiné uniquement à des tests de sécurité éducatifs et autorisés.
L'auteur n'est pas responsable de toute utilisation abusive ou des dommages causés par cet outil.
L'exploitation non autorisée est illégale.