CVE-2016-10584
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les utilisateurs de la bibliothèque dalek-browser-chrome-canary sont exposés à un risque car le logiciel télécharge des ressources binaires via une connexion HTTP non chiffrée. Un attaquant positionné sur le réseau entre l'utilisateur et le serveur peut intercepter ces requêtes et remplacer les fichiers légitimes par du code malveillant afin de parvenir à l'exécution de code à distance. Bien qu'aucune authentification ni interaction de l'utilisateur ne soit requise, la réussite de cette opération nécessite que l'attaquant se trouve dans une position réseau spécifique pour effectuer une attaque de l'homme du milieu (man-in-the-middle).
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
dalek-browser-chrome-canary provides Google Chrome bindings for DalekJS. dalek-browser-chrome-canary downloads binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.