FICHE CVE

CVE-2020-29552

Publiée le 2020-12-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Le logiciel URVE (Version 24.03.2020) est vulnérable à l'exécution de code à distance via une faille dans le composant vpro.php. Un attaquant peut exécuter des commandes PowerShell arbitraires et enregistrer le résultat à la racine du serveur web, ce qui pourrait lui donner le contrôle total du serveur. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être réalisée via le réseau.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Injection de commandes système · CWE-78

Publiée2020-12-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in URVE Build 24.03.2020. By using the _internal/pc/vpro.php?mac=0&ip=0&operation=0&usr=0&pass=0%3bpowershell+-c+" substring, it is possible to execute a Powershell command and redirect its output to a file under the web root.