🛡 xj1.fr/cve
FICHE CVE

CVE-2024-27114

Publiée le 2024-09-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les outils de planification en ligne de SO Planning sont affectés lorsque le paramètre de vue publique est activé. Un attaquant non authentifié disposant d'un accès réseau peut télécharger un fichier PHP malveillant pour exécuter du code arbitraire sur votre serveur, bien que le fichier ne soit disponible que pendant quelques millisecondes. Il s'agit d'une attaque relativement simple à exécuter à distance, à condition que cette configuration spécifique soit active.

CVSS 4.08.9 ÉLEVÉE
Type de faiblesse
Situation de concurrence TOCTOU · CWE-367
Publiée2024-09-11
Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaquePrésent
Privilèges requisÉlevés
Interaction utilisateurAucune
Confidentialité (système vulnérable)Élevée
Intégrité (système vulnérable)Élevée
Disponibilité (système vulnérable)Élevée
Confidentialité (système subséquent)Élevée
Intégrité (système subséquent)Élevée
Disponibilité (système subséquent)Élevée
Sécurité des personnesNégligeable
AutomatisableOui
RécupérationIrrécupérable
Densité de valeurConcentrée
Effort de réponseModéré
Urgence du fournisseurRed

RÉFÉRENCES

Description officielle du NVD (en anglais)

A unauthenticated Remote Code Execution (RCE) vulnerability is found in the SO Planning online planning tool. If the public view setting is enabled, a attacker can upload a PHP-file that will be available for execution for a few milliseconds before it is removed, leading to execution of code on the underlying system. The vulnerability has been remediated in version 1.52.02.