CVE-2014-1613
Publiée le 2014-05-16 · Dernière modification le 2026-06-17
Les plateformes de blogging Dotclear antérieures à la version 2.6.2 sont affectées par une faille dans la manière dont le logiciel gère les pages protégées par mot de passe. Un attaquant distant peut exécuter du code PHP arbitraire sur votre serveur en envoyant un cookie spécialement conçu, ce qui pourrait mener à une compromission complète du système. Cette attaque est facile à réaliser et ne nécessite ni authentification ni interaction de l'utilisateur, seulement un accès réseau au serveur web.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Dotclear before 2.6.2 allows remote attackers to execute arbitrary PHP code via a serialized object in the dc_passwd cookie to a password-protected page, which is not properly handled by (1) inc/public/lib.urlhandlers.php or (2) plugins/pages/_public.php.