CVE-2006-4848
Publiée le 2006-09-19 · Dernière modification le 2026-06-16
Les installations de Hitweb 3.0 sont sensibles à l'inclusion de fichiers à distance via plusieurs pages PHP spécifiques. Un attaquant non authentifié ayant un accès réseau peut exécuter du code arbitraire sur votre serveur en envoyant une URL spécialement conçue. Cette exploitation est relativement facile à réaliser car elle ne nécessite aucun identifiant préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple PHP remote file inclusion vulnerabilities in Brian Fraval Hitweb 3.0 allow remote attackers to execute arbitrary PHP code via a URL in the REP_CLASS parameter to (1) index.php, (2) arbo.php, (3) framepoint.php, (4) genpage.php, (5) lienvalider.php, (6) appreciation.php, (7) partenariat.php, (8) rechercher.php, (9) projet.php, (10) propoexample.php, (11) refererpoint.php, or (12) top50.php. NOTE: this issue has been disputed by a third party researcher, stating that REP_CLASS is initialized in an included file before being used