CVE-2011-2155
Publiée le 2011-05-20 · Dernière modification le 2026-06-16
Les serveurs web SmarterTools SmarterStats 6.0 ne désactivent pas la fonction de saisie automatique (autocomplete) dans le champ du mot de passe de connexion. Un attaquant ayant un accès physique à un poste de travail non surveillé, sur lequel un utilisateur s'est previously connecté, peut potentiellement contourner l'authentification en exploitant les identifiants enregistrés par le navigateur. Bien que cela nécessite une présence locale sur l'ordinateur de la victime, cela ne requiert ni authentification préalable ni outils spécialisés de la part de l'attaquant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Login.aspx in the SmarterTools SmarterStats 6.0 web server generates a ctl00$MPH$txtPassword password form field without disabling the autocomplete feature, which makes it easier for remote attackers to bypass authentication by leveraging an unattended workstation.