CVE-2005-2383
Publiée le 2005-07-26 · Dernière modification le 2026-06-16
La version 1.2.5 de PHPNews est affectée par une faille dans son script d'authentification qui permet à un attaquant distant d'exécuter des commandes SQL non autorisées. En envoyant une requête spécialement conçue à la page de connexion, un tiers peut contourner les contrôles de sécurité pour consulter, modifier ou supprimer des données au sein de la base de données. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification préalable ni interaction de l'utilisateur, au-delà d'un accès réseau basique au serveur web.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SQL injection vulnerability in auth.php in PHPNews 1.2.5 allows remote attackers to execute arbitrary SQL commands via the user parameter in an HTTP POST request.