CVE-2002-0286
Publiée le 2002-05-31 · Dernière modification le 2026-06-16
Les versions 0.10 et 0.11 de SiteNews sont affectées par une faille dans la manière dont le système gère les mots de passe pour les utilisateurs inexistants. Un attaquant distant non authentifié peut obtenir des privilèges d'administrateur et ajouter de nouveaux utilisateurs simplement en envoyant une somme de contrôle MD5 spécifique à la page `add_user.php`. Comme cela ne nécessite aucun accès préalable ni interaction de l'utilisateur, l'exécution via un réseau est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The GetPassword function in function.php of SiteNews 0.10 and 0.11 allows remote attackers to gain privileges and add users by providing a non-existent user name and the MD5 checksum for an empty password to add_user.php, which causes GetPassword to produce and compare a blank password for the non-existent user.