Veille sécuritéBackend & données
P3Élevée
FOG, avant la version 1.5.10.1870, peut divulguer à distance et sans authentification la valeur du mot de passe par défaut de jonction au domaine via l’endpoint adInfo(). La réponse expose le secret dans le champ JSON domainpass.
PHP
IdentifiantCVE-2026-54554
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.5.10.1870
Source : NVD — CVE-2026-54554
Analyse technique
L’endpoint adInfo() est accessible via node=ipxe sans session authentifiée, selon les informations de la fiche.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14, dans la période demandée.
ImpactDivulgation d’un identifiant de jonction au domaine, susceptible de compromettre les systèmes utilisant ce compte.
Versions affectéesVersions antérieures à 1.5.10.1870
Version corrigée1.5.10.1870
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-14T18:17:37.693Z
Mise à jour2026-10-14T18:17:37.693Z
Action recommandée
Mettre à jour FOG vers la version 1.5.10.1870.
Sources
Priorisation DFS : P3 · 1 source(s).