Mail logging & Catcher jusqu’à la version 2.2.0 peut exposer des clés de réinitialisation de mot de passe d’administrateur aux utilisateurs authentifiés disposant d’un accès de faible niveau. Le scénario dépend d’une configuration où le rôle autorisé à consulter les journaux a été abaissé, contrairement au réglage par défaut décrit dans la source.
Source : NVD — CVE-2026-120040
Analyse technique
Les journaux de courriels peuvent contenir les clés valides de réinitialisation des mots de passe. L’exploitation suppose que default_view_role autorise des utilisateurs ayant une capacité telle que read à consulter ces journaux ; le défaut manage_options restreint l’accès aux administrateurs.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible et rétablir une restriction d’accès aux journaux réservée aux administrateurs.
Sources
Priorisation DFS : P3 · 1 source(s).