FICHE CVE

CVE-2006-4264

Publiée le 2006-08-21 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Le composant `lmtg_myhomepage` pour le CMS Mambo est affecté par une faille d'inclusion de fichier distant. Un attaquant non authentifié disposant d'un accès réseau peut exécuter du code PHP arbitraire sur votre serveur en envoyant une URL spécialement conçue. Cette exploitation ne nécessite aucune interaction de l'utilisateur et est relativement simple à réaliser, bien que certains rapports contestent l'exploitabilité réelle de la variable concernée.

CVSS 3.19.8 CRITIQUE

Publiée2006-08-21

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Multiple PHP remote file inclusion vulnerabilities in the lmtg_myhomepage Component (com_lmtg_myhomepage) for Mambo allow remote attackers to execute arbitrary PHP code via a URL in the mosConfig_absolute_path parameter in (1) install.lmtg_homepage.php and (2) mtg_homepage.php. NOTE: this issue has been disputed by a third party, who states that the $mosConfig_absolute_path variable is only used within a function definition. CVE source code analysis on 20060824 is not conclusive but tends to concur with the dispute. In addition, it appears that the component name is actually "lmtg_myhomepage"