CVE-2016-10679
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Le package `selenium-standalone-painful` est concerné car il télécharge les ressources binaires nécessaires via une connexion HTTP non chiffrée. Un attaquant positionné sur votre réseau (une attaque de l'homme du milieu ou Man-in-the-Middle) pourrait remplacer ces binaires par des fichiers malveillants afin d'exécuter du code arbitraire sur votre serveur. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, cette opération est difficile à réaliser car l'attaquant doit être stratégiquement positionné entre votre serveur et la source de téléchargement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
selenium-standalone-painful installs a start-selenium command line to start a standalone selenium server with chrome-driver. selenium-standalone-painful downloads binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested resources with an attacker controlled copy if the attacker is on the network or positioned in between the user and the remote server.