CVE-2007-6396
Publiée le 2007-12-17 · Dernière modification le 2026-06-16
La version 1.2 et les versions antérieures de Flat PHP Board sont affectées par une faille qui permet à toute personne ayant un accès réseau d'injecter du code PHP malveillant lors du processus d'inscription d'un utilisateur. Un attaquant peut déclencher cela en créant simplement un compte avec des noms d'utilisateur, des mots de passe ou des adresses e-mail spécifiquement conçus, bien qu'il doive ensuite visiter une page précise pour exécuter le code. Étant donné qu'aucune authentification n'est requise et que le processus est simple, cela offre un chemin direct à un attaquant externe pour exécuter des commandes arbitraires sur le serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Direct static code injection vulnerability in index.php in Flat PHP Board 1.2 and earlier allows remote attackers to inject arbitrary PHP code via the (1) username, (2) password, and (3) email parameters when registering a user account, which can be executed by accessing the user's php file for this account. NOTE: similar code injection might be possible in a user profile.