CVE-2006-6661
Publiée le 2006-12-20 · Dernière modification le 2026-06-16
Les versions 2.7 et antérieures de PHP-Update sont sensibles à une faille dans le fichier `blog.php` qui permet à un attaquant d'écraser des variables internes du programme. En envoyant des requêtes réseau spécialement conçues, un attaquant distant peut exécuter du code PHP arbitraire sur votre serveur. Cette attaque est facile à réaliser car elle ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Variable overwrite vulnerability in blog.php in PHP-Update 2.7 and earlier allows remote attackers to overwrite arbitrary program variables and execute arbitrary PHP code via multiple vectors that use the extract function, as demonstrated by the (1) f, (2) newmessage, (3) newusername, (4) adminuser, and (5) permission parameters.