FICHE CVE

CVE-2026-8208

Publiée le 2026-05-09 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les versions de Gibbon antérieures à la v30.0.01 sont vulnérables à une faille permettant à un attaquant d'exécuter du code arbitraire sur le serveur web sous-jacent. Pour y parvenir, l'utilisateur doit déjà posséder un compte avec des privilèges de niveau « Teacher » (Enseignant) ou supérieur. Bien que cela nécessite une authentification de haut niveau, l'exploit est déclenché à distance en manipulant les répertoires de rapports pour forcer le serveur à exécuter un fichier .zip malveillant en tant que script PHP.

CVSS 4.08.9 ÉLEVÉE

Type de faiblesse

Inclusion de fichier PHP · CWE-98

Publiée2026-05-09

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Gibbon versions before v30.0.01 are affected by a local file inclusion vulnerability resulting in RCE by changing the report archive directory and forcing interpretation of a user provided .zip as PHP. Successful exploitation requires Teacher or higher privileges. Exploitation could result in compromise of the underlying web server.