Le service utilise un secret codé en dur et partagé entre les appliances VOS pour signer les cookies de session, ce qui peut permettre la falsification d’un cookie si un identifiant de session valide est obtenu. Versa recommande de désactiver le service Web Node.js après le provisionnement initial.
Source : NVD — CVE-2026-107243
Analyse technique
La clé partagée sert à signer les cookies de session avec HMAC-SHA256; un identifiant de session valide est nécessaire selon la description candidate.
Impact, versions et correctif
Détection / vérification
Vérifier si le service Node.js de provisionnement VOS est actif et si son secret de signature de session est commun à plusieurs appareils.
Action recommandée
Désactiver le service Web Node.js après le provisionnement initial et appliquer les mesures de durcissement Versa.
Sources
Priorisation DFS : P3 · 1 source(s).