Rodauth before 2.46.0 contains an authentication bypass vulnerability in the webauthn_login route...
Résumé
Rodauth before 2.46.0 contains an authentication bypass vulnerability in the webauthn_login route...
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Rodauth before 2.46.0 contains an authentication bypass vulnerability in the webauthn_login route that allows logged-in users to authenticate as any other account. Attackers can exploit improper account resolution logic that falls back to session account identifiers instead of validating the credential binding to complete authentication as arbitrary users.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-82466 a été découverte dans CVE-2026-82466.
Des attaquants peuvent cibler un point d'entrée spécifique comme webauth_login à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.7/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-82466 CVE-2026-82466 » sur le site de l'éditeur.
CVE-2026-82466 (CVE-2026-82466) — CWE-287 / CVSS v3 8.7
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : webauth_login / webauthn_login / already_logged_in
Versions affectées : < 2.46.0
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Rodauthのwebauthn_loginルートにおける認証バイパスの脆弱性
Rodauth 2.46.0より前のバージョン
この脆弱性により、攻撃者はアカウントの乗っ取りが可能となるため、重大な影響があります。
Rodauthをバージョン2.46.0以上にアップグレードする。
特に記載はないが、最新のセキュリティパッチを適用することが推奨される。
セッション管理のログを監査し、意図しないアカウントアクセスがないか確認する。