CVE-2006-6785
Publiée le 2006-12-28 · Dernière modification le 2026-06-16
Les versions 2.5 et antérieures d'Open Newsletter contiennent une faille dans les scripts de paramètres et d'abonnés qui ne bloque pas l'accès après une tentative de connexion échouée. Cela permet à un attaquant distant d'effectuer des actions administratives ou potentiellement d'exécuter du code arbitraire sans aucune authentification ni interaction de l'utilisateur. Comme l'attaque ne nécessite qu'un accès réseau et est relativement facile à exécuter, vous devez mettre à jour le logiciel immédiatement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The (1) settings.php and (2) subscribers.php scripts in Open Newsletter 2.5 and earlier do not exit when authentication fails, which allows remote attackers to perform unauthorized administrative actions, or execute arbitrary code in conjunction with another vulnerability.