Veille sécuritéBackend & données
P4Moyenne
Lorsque le partage de comptes est activé, un utilisateur authentifié de 2FAuth peut consulter les destinataires et relations de partage de comptes appartenant à d’autres utilisateurs. La vulnérabilité est corrigée en version 8.0.0.
PHP
IdentifiantCVE-2026-63437
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif8.0.0
Source : NVD — CVE-2026-63437
Analyse technique
La méthode recipients() reçoit un compte choisi par l’appelant via le model binding Laravel, mais n’applique pas la politique d’autorisation manageShares avant de retourner les destinataires.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-06 à 21:17:09.593Z, dans la période demandée.
ImpactÉnumération d’identifiants, de noms affichés, d’adresses correspondant à des recherches exactes et des relations de partage.
Versions affectées2FAuth antérieur à 8.0.0
Version corrigée8.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-11-06T21:17:09.593Z
Mise à jour2026-11-06T21:17:09.593Z
Action recommandée
Mettre à niveau 2FAuth vers la version 8.0.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).