CVE-2026-119407

Mở trang đầy đủ

CVSS 7.1 HIGH

Element Web and Element Desktop before 1.12.32 Forced Logout via Guest Credential URL Parameters

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Element Web and Element Desktop before 1.12.32 accept guest credentials from URL fragment parameters in loadSession, allowing remote unauthenticated attackers to log out users and clear local stores. Attackers can lure logged-in users into opening links with guest_user_id and guest_access_token to force an attacker-controlled guest session and destroy unbacked end-to-end encryption keys.

Điểm và phân loại

CVSS
7.1 HIGH v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
HIGH
EPSS
—
CWE
CWE-352

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:H

Ảnh hưởng

Sản phẩm

  • element-hq element-web
  • element-hq element-desktop

Vì sao bị lọc

  • CVSS 7.1 < 8.0 và không thuộc CISA KEV

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck

Tham khảo