FICHE CVE

CVE-2011-4899

Publiée le 2012-01-30 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les installations WordPress (version 3.3.1 et antérieures) sont concernées si le script d'installation initial reste accessible. Un attaquant distant non authentifié peut diriger l'installation vers une base de données qu'il contrôle afin d'injecter du code ou des scripts malveillants dans votre site. Cette opération est facile à exécuter car elle ne nécessite qu'un accès réseau et aucune interaction de l'utilisateur.

CVSS 2.07.5 ÉLEVÉE

Publiée2012-01-30

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsFaible

AuthentificationAucune

Impact sur la confidentialitéPartiel

Impact sur l'intégritéPartiel

Impact sur la disponibilitéPartiel

RÉFÉRENCES

Description officielle du NVD (en anglais)

wp-admin/setup-config.php in the installation component in WordPress 3.3.1 and earlier does not ensure that the specified MySQL database service is appropriate, which allows remote attackers to configure an arbitrary database via the dbhost and dbname parameters, and subsequently conduct static code injection and cross-site scripting (XSS) attacks via (1) an HTTP request or (2) a MySQL query. NOTE: the vendor disputes the significance of this issue; however, remote code execution makes the issue important in many realistic environments