CVE-2016-10559
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les systèmes utilisant la bibliothèque `selenium-download` en version 2.0.6 ou antérieure sont exposés à un risque car ils récupèrent des binaires de serveur via le protocole HTTP non chiffré. Un attaquant positionné sur le réseau entre votre serveur et la source de téléchargement pourrait remplacer le binaire légitime par un binaire malveillant, obtenant ainsi potentiellement une exécution complète de code à distance. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, l'exécution est difficile car l'attaquant doit être en mesure d'intercepter votre trafic réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
selenium-download downloads the latest versions of the selenium standalone server and the chromedriver. selenium-download before 2.0.7 downloads binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.