CVE-2008-2020
Publiée le 2008-04-30 · Dernière modification le 2026-06-16
Plusieurs anciennes applications web basées sur PHP, notamment des versions antérieures de PHP-Nuke et e107, utilisent un système CAPTCHA qui génère trop peu d'images uniques. Un attaquant distant peut contourner ces contrôles de sécurité à l'aide d'un script automatisé et d'une table précalculée de sommes de contrôle (checksums) d'images pour soumettre des formulaires ou créer des comptes. Cette exploitation ne nécessite ni authentification ni interaction de l'utilisateur et peut être exécutée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The CAPTCHA implementation as used in (1) Francisco Burzi PHP-Nuke 7.0 and 8.1, (2) my123tkShop e-Commerce-Suite (aka 123tkShop) 0.9.1, (3) phpMyBitTorrent 1.2.2, (4) TorrentFlux 2.3, (5) e107 0.7.11, (6) WebZE 0.5.9, (7) Open Media Collectors Database (aka OpenDb) 1.5.0b4, and (8) Labgab 1.1 uses a code_bg.jpg background image and the PHP ImageString function in a way that produces an insufficient number of different images, which allows remote attackers to pass the CAPTCHA test via an automated attack using a table of all possible image checksums and their corresponding digit strings.