FICHE CVE

CVE-2007-6548

Publiée le 2007-12-28 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les versions de RunCMS antérieures à la 1.6.1 sont affectées par plusieurs failles d'injection de code dans divers paramètres d'administration. Un attaquant disposant d'identifiants d'administrateur peut injecter du code PHP arbitraire dans les fichiers de cache du système, ce qui pourrait lui permettre de prendre le contrôle total du serveur web. Cette exploitation est facile à exécuter via le réseau, à condition que l'attaquant dispose déjà d'un accès authentifié au panneau d'administration.

CVSS 2.07.5 ÉLEVÉE

Type de faiblesse

Injection de code · CWE-94

Publiée2007-12-28

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsFaible

AuthentificationAucune

Impact sur la confidentialitéPartiel

Impact sur l'intégritéPartiel

Impact sur la disponibilitéPartiel

RÉFÉRENCES

Description officielle du NVD (en anglais)

Multiple direct static code injection vulnerabilities in RunCMS before 1.6.1 allow remote authenticated administrators to inject arbitrary PHP code via the (1) header and (2) footer parameters to modules/system/admin.php in a meta-generator action, (3) the disclaimer parameter to modules/system/admin.php in a disclaimer action, (4) the disclaimer parameter to modules/mydownloads/admin/index.php in a mydownloadsConfigAdmin action, (5) the disclaimer parameter to modules/newbb_plus/admin/forum_config.php, (6) the disclaimer parameter to modules/mylinks/admin/index.php in a myLinksConfigAdmin action, or (7) the intro parameter to modules/sections/admin/index.php in a secconfig action, which inject PHP sequences into (a) sections/cache/intro.php, (b) mylinks/cache/disclaimer.php, (c) mydownloads/cache/disclaimer.php, (d) newbb_plus/cache/disclaimer.php, (e) system/cache/disclaimer.php, (f) system/cache/footer.php, (g) system/cache/header.php, or (h) system/cache/maintenance.php in modules/.