CVE-2014-2293
Publiée le 2018-03-26 · Dernière modification le 2026-06-17
Les versions du Zikula Application Framework antérieures à la version 1.3.7 build 11 sont vulnérables à l'injection d'objets PHP via certains paramètres dans index.php. Un attaquant distant non authentifié peut exploiter cette faille pour supprimer des fichiers arbitraires sur votre serveur ou exécuter son propre code PHP. Cette attaque est facile à réaliser car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, seulement un accès réseau à l'application.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Zikula Application Framework before 1.3.7 build 11 allows remote attackers to conduct PHP object injection attacks and delete arbitrary files or execute arbitrary PHP code via crafted serialized data in the (1) authentication_method_ser or (2) authentication_info_ser parameter to index.php, or (3) zikulaMobileTheme parameter to index.php.