CVE-2006-4349
Publiée le 2006-08-24 · Dernière modification le 2026-06-16
Les versions 1.0.3 et antérieures de ToendaCMS sont affectées par une faille qui permet à un attaquant distant non authentifié d'exécuter du code PHP arbitraire sur le serveur. En envoyant une URL spécialement conçue vers un paramètre spécifique du site, un attaquant peut forcer l'application à inclure et à exécuter un fichier externe malveillant. Cette opération peut être effectuée via le réseau, sans connexion préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PHP remote file inclusion vulnerability in ToendaCMS 1.0.3 and earlier allows remote attackers to execute arbitrary PHP code via a URL in the tcms_administer_site parameter to an unspecified script, probably index.php. NOTE: this issue has been disputed by a third party, who states that $tcms_administer_site is initialized to a constant value within index.php