S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 11 juillet 2006
N° CERTA-2006-ALE-008
Affaire suivie par: CERT-FR

Bulletin d'alerte du CERT-FR

Objet: Vulnérabilité d'ExtCalendar

Gestion du document

Référence CERTA-2006-ALE-008
Titre Vulnérabilité d'ExtCalendar
Date de la première version11 juillet 2006
Date de la dernière version11 juillet 2006
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

Les versions d'ExtCalendar antérieures ou égales à 2.0.

Résumé

Une vulnérabilité d'ExtCalendar permet à un utilisateur malveillant d'injecter du code arbitraire à distance.

Description

ExtCalendar est une application permettant de gérer un calendrier. Elle se présente comme un composant, qui peut être installé en association avec des CMS (pour Content Management Systems) de type Joomla! ou Mambo. Une vulnérabilité a été identifiée dans celle-ci. Elle ne vérifie pas correctement la variable
mosConfig_absolute_path. Un utilisateur malveillant peut profiter de cette propriété pour injecter du code arbitraire à distance.

Cette vulnérabilité est actuellement exploitée.

Solution

Ce produit n'est plus suivi par le CERTA.

Documentation

Gestion détaillée du document

    le 11 juillet 2006
    version initiale.