CVE-2006-6023
Publiée le 2006-11-21 · Dernière modification le 2026-06-16
Les serveurs Bloo 1.0 sont affectés par une faille dans le fichier `phoo.base.php` qui permet à des attaquants distants d'exécuter du code PHP arbitraire sur le système. En envoyant une URL spécialement conçue au paramètre `descriptorFileList`, un attaquant non authentifié peut prendre le contrôle du serveur via le réseau sans aucune interaction de l'utilisateur. Comme l'attaque ne nécessite ni privilèges particuliers ni configuration complexe, elle est relativement facile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PHP remote file inclusion vulnerability in phoo.base.php in Bill Roberts Bloo 1.0 allows remote attackers to execute arbitrary PHP code via a URL in the descriptorFileList parameter. NOTE: this issue is disputed by CVE since $descriptorFileList is used in a function definition within phoo.base.php