FICHE CVE
CVE-2017-0897
Publiée le 2017-06-22 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
Les sites ExpressionEngine utilisant la version 2.x (antérieure à 2.11.8) ou 3.x (antérieure à 3.5.5) sont affectés par une faille dans la manière dont les jetons de sécurité sont générés. Un attaquant peut deviner ces jetons faibles via le réseau pour exécuter du code arbitraire sur votre serveur. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur, ce qui la rend relativement facile à réaliser si le logiciel n'est pas à jour.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéAucun
Impact sur la disponibilitéAucun
RÉFÉRENCES
Description officielle du NVD (en anglais)
ExpressionEngine version 2.x < 2.11.8 and version 3.x < 3.5.5 create an object signing token with weak entropy. Successfully guessing the token can lead to remote code execution.