CVE-2016-10570
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les versions de l'outil `pngcrush-installer` antérieures à la 1.8.10 sont affectées car elles téléchargent des ressources binaires via une connexion HTTP non chiffrée. Un attaquant positionné sur votre réseau peut intercepter ce trafic pour remplacer le binaire légitime par un binaire malveillant, ce qui pourrait permettre l'exécution de code à distance sur votre système. Bien que cela ne nécessite aucune authentification, l'exécution est difficile car l'attaquant doit être en mesure d'effectuer une attaque de l'homme du milieu (man-in-the-middle) entre votre serveur et la source de téléchargement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
pngcrush-installer is an installer for Pngcrush. pngcrush-installer versions below 1.8.10 download binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.