Risque
Exécution de code arbitraire à distance.
Systèmes affectés
Les versions d'ExtCalendar antérieures ou égales à 2.0.
Résumé
Une vulnérabilité d'ExtCalendar permet à un utilisateur malveillant d'injecter du code arbitraire à distance.
Description
ExtCalendar est une application permettant de gérer un calendrier. Elle se présente comme un composant, qui peut être installé en association avec des CMS (pour Content Management Systems) de type Joomla! ou Mambo. Une vulnérabilité a été identifiée dans celle-ci. Elle ne vérifie pas correctement la variable
mosConfig_absolute_path. Un utilisateur malveillant peut profiter de cette propriété pour injecter du code arbitraire à distance.
Cette vulnérabilité est actuellement exploitée.
Solution
Ce produit n'est plus suivi par le CERTA.
Documentation
Site du projet ExtCalendar :
http://extcal.sourceforge.net