CVE-2024-38428
Publiée le 2024-06-16 · Dernière modification le 2026-06-17
Les versions de GNU Wget jusqu'à la 1.24.5 sont affectées par une erreur d'analyse d'URI où des points-virgules peuvent tromper le programme, l'amenant à se connecter à un hôte malveillant plutôt qu'à celui prévu. Un attaquant peut utiliser cette faille pour rediriger vos téléchargements ou vos transferts de données vers un serveur qu'il contrôle, permettant potentiellement le vol d'informations sensibles ou la fourniture de fichiers malveillants. Cette attaque est facile à exécuter via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur, au-delà du déclenchement d'une requête Wget vers une URL spécialement conçue.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
url.c in GNU Wget through 1.24.5 mishandles semicolons in the userinfo subcomponent of a URI, and thus there may be insecure behavior in which data that was supposed to be in the userinfo subcomponent is misinterpreted to be part of the host subcomponent.