FICHE CVE

CVE-2016-9835

Publiée le 2016-12-05 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Zikula CMS fonctionnant sous Windows sont vulnérables à une faille de traversée de répertoire dans le fichier `jcss.php`. Un attaquant distant non authentifié peut exploiter cette faille en téléchargeant un fichier sérialisé pour déclencher une injection d'objet PHP, ce qui peut potentiellement mener à l'exécution complète de code à distance sur le serveur. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est triviale pour un attaquant disposant d'un accès réseau.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

Injection de commandes · CWE-77 Contrôle d'accès incorrect · CWE-284

Publiée2016-12-05

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Directory traversal vulnerability in file "jcss.php" in Zikula 1.3.x before 1.3.11 and 1.4.x before 1.4.4 on Windows allows a remote attacker to launch a PHP object injection by uploading a serialized file.