CVE-2025-26844
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Znuny define cookies sem a flag HttpOnly, permitindo que códigos JavaScript acessem cookies de sessão sensíveis. Isso permite que atacantes roubem sessões de usuários através de scripts, mesmo com outras proteções ativas.
A flag HttpOnly está ausente na configuração de cookies no Znuny ≤7.1.3, permitindo que scripts do lado do cliente acessem tokens de autenticação via APIs JavaScript. Um atacante pode explorar vulnerabilidades XSS ou scripts maliciosos para exfiltrar cookies de sessão, resultando em acesso não autorizado à conta sem necessidade de interação no servidor.