CVE-2020-29600
Publiée le 2020-12-07 · Dernière modification le 2026-06-17
Les versions d'AWStats jusqu'à la 7.7 sont affectées par une faille qui permet à un attaquant de lire des fichiers arbitraires sur le serveur en transmettant un chemin absolu au paramètre de configuration. Un attaquant distant peut utiliser cette vulnérabilité pour voler des fichiers système sensibles ou des données de configuration, sans nécessiter d'authentification ni d'interaction de l'utilisateur. Cette exploitation est facile à exécuter via le réseau, pouvant potentiellement mener à une compromission complète du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In AWStats through 7.7, cgi-bin/awstats.pl?config= accepts an absolute pathname, even though it was intended to only read a file in the /etc/awstats/awstats.conf format. NOTE: this issue exists because of an incomplete fix for CVE-2017-1000501.