CVE-2007-0681
CriticalSummary
Plik profile.php w ExtCalendar w wersji 2 i wcześniejszych umożliwia zdalnym atakującym zmianę haseł dowolnych użytkowników bez podawania oryginalnego hasła, a także potencjalnie wykonywanie innych nieautoryzowanych działań, poprzez zmodyfikowane wartości w register.php.
Risk Assessment
Ta podatność stwarza poważne zagrożenie dla bezpieczeństwa, ponieważ umożliwia atakującym przejęcie kont użytkowników i dostęp do ich danych bez autoryzacji.
Recommendation
Zaleca się aktualizację ExtCalendar do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów autoryzacji przy zmianie haseł użytkowników.
Original NVD description (English source)
profile.php in ExtCalendar 2 and earlier allows remote attackers to change the passwords of arbitrary users without providing the original password, and possibly perform other unauthorized actions, via modified values to register.php.