CVE-2020-26732

SKYWORTH GN542VF Version matérielle 2.0 et Version logicielle 2.0.0.16 ne définit pas le drapeau Secure pour le cookie de session dans une session HTTPS

Description

SKYWORTH GN542VF Version matérielle 2.0 et Version logicielle 2.0.0.16 ne définit pas le drapeau Secure pour le cookie de session dans une session HTTPS, ce qui facilite la capture de ce cookie par des attaquants distants en interceptant sa transmission dans une session HTTP.

Informations supplémentaires

Chaque cookie doit être soigneusement examiné pour déterminer s'il contient des données sensibles ou est utilisé pour une décision de sécurité. Si possible, assurez-vous que toutes les communications se produisent sur un canal chiffré et ajoutez l'attribut secure à tous les cookies de session ou à tous les cookies contenant des données sensibles.

Type de vulnérabilité Autre

Cookies d'application web non marqués comme sécurisés

Vendeur du produit

SKYWORTH

Code base du produit affecté

SKYWORTH GN542VF - Version matérielle 2.0 et Version logicielle 2.0.0.16

Composant affecté

Cookies d'application web de SKYWORTH GN542VF.

Type d'attaque

Locale

Impact Divulgation d'informations

true

Vecteurs d'attaque

Cela signifie que le cookie pourrait potentiellement être volé par un attaquant qui parvient à intercepter et déchiffrer le trafic, ou suite à une attaque de type homme du milieu réussie.

Découvreur

Jiraput Thamsongkrah

Preuve de concept