CVE-2019-7725
Publiée le 2020-12-31 · Dernière modification le 2026-06-17
Les versions de NukeViet CMS antérieures à la 4.3.04 sont affectées par une faille de désérialisation non sécurisée dans le cookie de hachage de connexion. Un attaquant non authentifié disposant d'un accès réseau peut envoyer un cookie spécialement conçu pour exécuter du code arbitraire sur votre serveur, prenant potentiellement le contrôle total du système. Cette attaque est relativement facile à réaliser car elle ne nécessite aucune interaction de l'utilisateur ni d'accès préalable à un compte.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
includes/core/is_user.php in NukeViet before 4.3.04 deserializes the untrusted nvloginhash cookie (i.e., the code relies on PHP's serialization format when JSON can be used to eliminate the risk).