CVE-2006-4244
Publiée le 2006-08-31 · Dernière modification le 2026-06-16
Les versions 2.4.4 à 2.6.17 de SQL-Ledger sont affectées par une faille dans la manière dont elles vérifient les sessions utilisateur. Un attaquant distant peut usurper l'identité de n'importe quel utilisateur actuellement connecté en définissant simplement son cookie de session et son paramètre d'identifiant de session avec la même valeur arbitraire. Cette opération ne nécessite ni authentification ni interaction de l'utilisateur, ce qui rend son exécution sur un réseau très simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security@debian.org
- security@debian.org
- security@debian.org
- security@debian.org
- security@debian.org
- security@debian.org
- security@debian.org
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
SQL-Ledger 2.4.4 through 2.6.17 authenticates users by verifying that the value of the sql-ledger-[username] cookie matches the value of the sessionid parameter, which allows remote attackers to gain access as any logged-in user by setting the cookie and the parameter to the same value.