CVE-2025-65925 — Contrôle d'accès incorrect dans le flux de création de compte Zeroheight

Date de divulgation : 2025-06-11
Date de correctif fournisseur (selon le fournisseur) : 2025-06-13
Date de validation par le chercheur : 2025-06-26
Découvert par : Sneden Rebello

---

Résumé

Un chemin d'accès hérité à l'API de création d'utilisateurs permettait la création de comptes sans terminer l'étape de vérification par e-mail prévue. Bien que les comptes non vérifiés ne puissent pas accéder aux fonctionnalités du produit, ce contournement violait néanmoins le flux de vérification et de contrôle d'accès conçu et permettait la création de comptes non souhaités (par exemple, inscriptions de spam/faux comptes).

Périmètre : limité aux flux d'inscription non authentifiés.
Exposition des données : aucune observée ; pas d'accès aux données utilisateur existantes ni aux sessions.

---

Impact (haut niveau)

• Création de comptes en dehors des contrôles de vérification prévus
• Risque d'inondation de spam/faux comptes et d'impact sur les ressources/utilisation des ressources
• Pourrait contribuer à des scénarios d'ingénierie sociale ou d'attaques en chaîne dans des modèles de menace plus larges

Classification d'impact MITRE : Déni de service (épuisement des ressources via la création non intentionnelle de comptes)

Sévérité estimée : Moyenne (contournement de la logique d'authentification/vérification ; aucune exposition directe des données)

Vecteur CVSS v3.1 : AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Score de base CVSS : 6.5 (Moyen)

---

Classification CVE (MITRE)

• Type de vulnérabilité : Contrôle d'accès incorrect
• Type d'attaque : Distante
• Vecteur d'attaque : Réseau – accès non authentifié à un chemin d'accès hérité de création d'utilisateurs via HTTPS
• Composant affecté : Processus de création et de vérification des comptes utilisateurs (chemin hérité de contournement de vérification)
• Confirmation du fournisseur : Oui

---

Affecté

• Produit : Zeroheight (plateforme SaaS)
• Versions : zeroheight (SaaS) – instances antérieures au 2025-06-13 (chaîne de version publique approuvée par le fournisseur)

---

Atténuation (fournisseur)

Le fournisseur a résolu le problème en :

1. Exigeant un jeton de vérification valide pour tous les flux de création de compte
2. Améliorant les contrôles de validation avant de traiter les nouvelles inscriptions de comptes

Ces modifications garantissent que les comptes ne peuvent être créés qu'après avoir terminé le processus de vérification par e-mail prévu.
Les utilisateurs de la plateforme n'ont aucune action à entreprendre, si ce n'est de s'assurer qu'ils utilisent la version actuelle du service.

---

Chronologie

Remarque : La date de correctif interne du fournisseur (2025-06-13) et la date de validation par le chercheur (2025-06-26) sont toutes deux enregistrées par souci de transparence.

---

Crédits

• Chercheur : Sneden Rebello (GitHub),(LinkedIn)
• Coordination avec le fournisseur : Équipes sécurité et ingénierie de Zeroheight

---

CVE

CVE-2025-65925 est publié publiquement sur cve.org
Cet avis reflète la divulgation publique associée à ce CVE.

---

Références

• Cet avis (public)
• Contexte supplémentaire du fournisseur conservé privé à sa demande

---

Politique de divulgation

Cela suit la divulgation coordonnée des vulnérabilités. Les détails publics sont intentionnellement de haut niveau à la demande du fournisseur ; aucun identifiant interne, détail d'infrastructure ou spécificité de point de terminaison n'est inclus. Voir DISCLOSURE_POLICY.md pour plus d'informations.