CVE-2006-5526
Publiée le 2006-10-26 · Dernière modification le 2026-06-16
Les versions 2021.4.40 et antérieures de Fully Modded phpBB (phpbbfm) sont affectées par une faille d'inclusion de fichier distant. Un attaquant peut exécuter du code PHP arbitraire sur votre serveur en envoyant une URL spécialement conçue vers plusieurs pages de l'application. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et peut être lancée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple PHP remote file inclusion vulnerabilities in Teake Nutma Foing, as modified in Fully Modded phpBB (phpbbfm) 2021.4.40 and earlier, allow remote attackers to execute arbitrary PHP code via a URL in the foing_root_path parameter in (a) faq.php, (b) index.php, (c) list.php, (d) login.php, (e) playlist.php, (f) song.php, (g) gen_m3u.php, (h) view_artist.php, (i) view_song.php, (j) flash/set_na.php, (k) flash/initialise.php, (l) flash/get_song.php, (m) includes/common.php, (n) admin/nav.php, (o) admin/main.php, (p) admin/list_artists.php, (q) admin/index.php, (r) admin/genres.php, (s) admin/edit_artist.php, (t) admin/edit_album.php, (u) admin/config.php, and (v) admin/admin_status.php in player/, different vectors than CVE-2006-3045. NOTE: CVE analysis as of 20061026 indicates that files in the admin/ and flash/ directories define foing_root_path before use.