FICHE CVE

CVE-2011-2148

Publiée le 2011-05-20 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les serveurs web SmarterTools SmarterStats 6.0 sont vulnérables à l'injection de commandes à distance via divers paramètres d'entrée et cookies. Un attaquant peut exécuter des commandes arbitraires du système d'exploitation pour prendre le contrôle total du serveur, compromettant ainsi l'ensemble des données et la disponibilité du système. Cette attaque est facile à réaliser via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur.

CVSS 2.010.0 ÉLEVÉE

Type de faiblesse

Injection de commandes système · CWE-78

Publiée2011-05-20

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsFaible

AuthentificationAucune

Impact sur la confidentialitéComplet

Impact sur l'intégritéComplet

Impact sur la disponibilitéComplet

RÉFÉRENCES

Description officielle du NVD (en anglais)

Admin/frmSite.aspx in the SmarterTools SmarterStats 6.0 web server allows remote attackers to execute arbitrary commands via vectors involving a leading and trailing & (ampersand) character, and (1) an STTTState cookie, (2) the ctl00%24MPH%24txtAdminNewPassword_SettingText parameter, (3) the ctl00%24MPH%24txtSmarterLogDirectory parameter, (4) the ctl00%24MPH%24ucSiteSeoSearchEngineSettings%24chklistEngines_SettingCheckBox%2414 parameter, (5) the ctl00%24MPH%24ucSiteSeoSettings%24txtSeoMaxKeywords_SettingText parameter, or (6) the ctl00_MPH_grdLogLocations_HiddenLSR parameter, related to an "OS command injection" issue.