Pubblicato il 2026-07-13 · Fonte: NVD NIST
La vulnerabilità CVE-2026-61500 colpisce le versioni 3.0.0 attraverso 3.2.0 di Rejetto HFS, un software di condivisione file. Il problema deriva dall'utilizzo del generatore di numeri casuali non crittografico Math.random() per la generazione della chiave di firma dei cookie di sessione. Un attaccante remoto può raccogliere un numero limitato di risposte di login, ricostruire lo stato del generatore e recuperare la chiave di firma, consentendo di creare un cookie di sessione amministrativo valido. La CVSS Score di 9.8 indica che questa vulnerabilità è considerata critica.
Un attaccante che sfrutta questa vulnerabilità può ottenere l'accesso amministrativo completo al server e eseguire codice remoto tramite la funzionalità di configurazione del server_code. Ciò potrebbe portare a gravi conseguenze, come il furto di dati sensibili, la modifica di configurazioni di sistema e l'esecuzione di malware. I sistemi che utilizzano Rejetto HFS nelle versioni interessate sono a rischio.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare Rejetto HFS alla versione più recente disponibile, che dovrebbe includere la correzione per questo problema. Se l'aggiornamento non è immediatamente possibile, è importante limitare l'accesso al server e monitorare attentamente le attività di login e le modifiche di configurazione. Inoltre, è fondamentale adottare pratiche di sicurezza generali, come utilizzare password complesse e abilitare l'autenticazione a due fattori.
La vulnerabilità CVE-2026-61500 è un problema di sicurezza critico in Rejetto HFS che consente a un attaccante di eseguire codice remoto con accesso amministrativo.
Le versioni 3.0.0 attraverso 3.2.0 di Rejetto HFS sono colpite da questa vulnerabilità.
Per proteggersi, è consigliabile aggiornare Rejetto HFS alla versione più recente disponibile e adottare pratiche di sicurezza generali come l'utilizzo di password complesse e l'abilitazione dell'autenticazione a due fattori.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.