CVE-2019-15130
Publiée le 2019-08-18 · Dernière modification le 2026-06-17
Humanica Humatrix 7 (versions 1.0.0.203 et 1.0.0.681) présente une faille dans son module de recrutement qui permet à des attaquants distants de télécharger des fichiers malveillants, tels que des scripts ASP, sur le serveur. En envoyant une requête spécialement conçue avec un identifiant d'utilisateur prévisible, un attaquant peut exécuter des commandes arbitraires du système d'exploitation pour prendre le contrôle total du système. Cette attaque peut être réalisée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Recruitment module in Humanica Humatrix 7 1.0.0.203 and 1.0.0.681 allows an unauthenticated attacker to upload any file type to a candidate's profile picture folder via a crafted recruitment_online/personalData/act_personaltab.cfm multiple-part POST request with a predictable WRC01_USERID parameter. Moreover, the attacker can upload executable content (e.g., asp or aspx) for executing OS commands on the server.