FICHE CVE

CVE-2011-2159

Publiée le 2011-05-20 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les serveurs web SmarterTools SmarterStats 6.0 n'incluent pas d'en-tête Content-Type pour plusieurs fichiers spécifiques, ce qui peut entraîner des « conflits d'interprétation » où le navigateur identifie mal le type de fichier. Un attaquant distant et non authentifié peut exploiter cette faille via le réseau pour potentiellement compromettre la confidentialité, l'intégrité et la disponibilité du système. Comme l'attaque ne nécessite aucun privilège particulier ni interaction de l'utilisateur, elle est relativement facile à exécuter.

CVSS 2.010.0 ÉLEVÉE

Publiée2011-05-20

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsFaible

AuthentificationAucune

Impact sur la confidentialitéComplet

Impact sur l'intégritéComplet

Impact sur la disponibilitéComplet

RÉFÉRENCES

Description officielle du NVD (en anglais)

The SmarterTools SmarterStats 6.0 web server omits the Content-Type header for certain resources, which might allow remote attackers to have an unspecified impact by leveraging an interpretation conflict involving (1) Admin/Defaults/frmDefaultSiteSettings.aspx, (2) Admin/Defaults/frmServerDefaults.aspx, (3) Admin/frmReportSettings.aspx, (4) Admin/frmSite.aspx, (5) App_Themes/Default/ButtonBarIcons.xml, (6) App_Themes/Default/Skin.xml, (7) Client/frmImportSettings.aspx, (8) Client/frmSeoSettings.aspx, (9) Services/Web.config, (10) aspnet_client/system_web/4_0_30319/, (11) clientaccesspolicy.xml, (12) cloudscan.exe, (13) crossdomain.xml, or (14) sitemap.xml. NOTE: it is possible that only clients, not the SmarterStats product, could be affected by this issue.