CVE-2002-0008
Publiée le 2002-01-31 · Dernière modification le 2026-06-16
Les installations de Bugzilla antérieures à la version 2.14.1 permettent à des attaquants distants d'usurper l'identité d'autres utilisateurs lors de la publication de rapports de bugs ou de commentaires. En manipulant certains paramètres dans les requêtes HTTP, un attaquant non authentifié peut usurper l'identité d'un autre utilisateur sans avoir besoin de son mot de passe ni d'un cookie de session. Cette faille est facile à exploiter via un réseau et ne nécessite aucun accès préalable ni interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
Bugzilla before 2.14.1 allows remote attackers to (1) spoof a user comment via an HTTP request to process_bug.cgi using the "who" parameter, instead of the Bugzilla_login cookie, or (2) post a bug as another user by modifying the reporter parameter to enter_bug.cgi, which is passed to post_bug.cgi.