CVE-2016-10568
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
La bibliothèque `geoip-lite-country`, utilisée pour associer des adresses IP à des pays, télécharge les mises à jour de sa base de données via le protocole HTTP non chiffré. Un attaquant réseau positionné entre votre serveur et la source de mise à jour peut mener une attaque de l'homme du milieu (man-in-the-middle) pour injecter des données malveillantes dans votre système. Bien que l'exécution de cette attaque nécessite un positionnement réseau complexe, elle peut être réalisée sans aucune authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
geoip-lite-country is a stripped down version of geoip-lite, supporting only country lookup. geoip-lite-country before 1.1.4 downloads data resources over HTTP, which leaves it vulnerable to MITM attacks.