What severity and/or CVSS do you give 'password submissions over http'? burp says high, nessus says low, I say medium. SecuObs - L'observatoire de la sécurite internet - Site d'informations professionnelles francophone sur la sécurité informatique