FICHE CVE

CVE-2002-0010

Publiée le 2002-01-31 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les installations de Bugzilla antérieures à la version 2.14.1 sont vulnérables aux injections SQL via plusieurs paramètres web spécifiques. Un attaquant distant non authentifié peut exploiter ces failles pour créer des fichiers, modifier les privilèges des utilisateurs ou accéder à des informations sensibles de la base de données. Comme cela ne nécessite qu'un accès réseau basique et aucun identifiant particulier, l'exécution est relativement simple.

CVSS 2.07.5 ÉLEVÉE

Publiée2002-01-31

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsFaible

AuthentificationAucune

Impact sur la confidentialitéPartiel

Impact sur l'intégritéPartiel

Impact sur la disponibilitéPartiel

RÉFÉRENCES

Description officielle du NVD (en anglais)

Bugzilla before 2.14.1 allows remote attackers to inject arbitrary SQL code and create files or gain privileges via (1) the sql parameter in buglist.cgi, (2) invalid field names from the "boolean chart" query in buglist.cgi, (3) the mybugslink parameter in userprefs.cgi, (4) a malformed bug ID in the buglist parameter in long_list.cgi, and (5) the value parameter in editusers.cgi, which allows groupset privileges to be modified by attackers with blessgroupset privileges.