CVE-2006-5459
Publiée le 2006-10-23 · Dernière modification le 2026-06-16
Les versions 1.4.2 et antérieures de Download-Engine sont sensibles à l'inclusion de fichiers à distance via certains paramètres de configuration et de scripts. Un attaquant peut exploiter cette faille en envoyant une URL spécialement conçue au serveur, ce qui pourrait lui permettre d'exécuter du code PHP arbitraire et de prendre le contrôle de l'application. Cette attaque peut être réalisée via le réseau sans nécessiter d'interaction de l'utilisateur ni d'authentification préalable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple PHP remote file inclusion vulnerabilities in Download-Engine 1.4.2 and earlier allow remote attackers to execute arbitrary PHP code via a URL in the (1) $_ENGINE[eng_dir] and possibly (2) spaw_root parameters in admin/includes/spaw/spaw_script.js.php, and the (3) $_ENGINE[eng_dir], (4) $spaw_root, (5) $spaw_dir, and (6) $spaw_base_url parameters in admin/includes/spaw/config/spaw_control.config.php, different vectors than CVE-2006-5291. NOTE: CVE analysis as of 20061021 is inconclusive, but suggests that some or all of the suggested attack vectors are ineffective.