CVE-2016-10680
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque JavaScript `adamvr-geoip-lite` sont vulnérables car celle-ci télécharge les données GeoIP via une connexion HTTP non chiffrée. Un attaquant distant positionné sur le réseau peut intercepter ce trafic pour fournir de fausses données de localisation, ce qui pourrait amener votre application à prendre des décisions de sécurité ou de routage incorrectes. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, l'exécution est difficile car l'attaquant doit être en mesure d'effectuer une attaque de l'homme du milieu (man-in-the-middle) sur le trafic réseau de votre serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
adamvr-geoip-lite is a light weight native JavaScript implementation of GeoIP API from MaxMind adamvr-geoip-lite downloads geoip resources over HTTP, which leaves it vulnerable to MITM attacks. This impacts the integrity and availability of this geoip data that may alter the decisions made by an application using this data.