CVE-2002-0809
Publiée le 2002-08-12 · Dernière modification le 2026-06-16
Les versions 2.14 (antérieures à 2.14.2) et 2.16 (antérieures à 2.16rc2) de Bugzilla sont affectées par une faille dans la manière dont le logiciel gère les noms de champs encodés en URL. Un attaquant non authentifié disposant d'un accès réseau peut contourner les restrictions de permissions de groupe sur les bogues en envoyant des requêtes spécifiquement conçues vers `buglist.cgi`. Cet exploit est relativement facile à exécuter car il ne nécessite ni identifiants préalables ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Bugzilla 2.14 before 2.14.2, and 2.16 before 2.16rc2, does not properly handle URL-encoded field names that are generated by some browsers, which could cause certain fields to appear to be unset, which has the effect of removing group permissions on bugs when buglist.cgi is provided with the encoded field names.