FICHE CVE

CVE-2020-26282

Publiée le 2020-12-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

BrowserUp Proxy est vulnérable à une injection de modèle côté serveur (SSTI) qui permet à un attaquant d'exécuter du code arbitraire sur votre système. Comme cette faille ne nécessite ni authentification, ni interaction de l'utilisateur, ni privilèges particuliers, un attaquant peut déclencher cette action à distance via le réseau. En cas d'exploitation, l'attaquant pourrait prendre le contrôle total du serveur exécutant le proxy.

CVSS 3.110.0 CRITIQUE

Type de faiblesse

Injection · CWE-74

Publiée2020-12-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

BrowserUp Proxy allows you to manipulate HTTP requests and responses, capture HTTP content, and export performance data as a HAR file. BrowserUp Proxy works well as a standalone proxy server, but it is especially useful when embedded in Selenium tests. A Server-Side Template Injection was identified in BrowserUp Proxy enabling attackers to inject arbitrary Java EL expressions, leading to unauthenticated Remote Code Execution (RCE) vulnerability. This has been patched in version 2.1.2.