CVE-2007-0681
KrytyczneStreszczenie
Plik profile.php w ExtCalendar w wersji 2 i wcześniejszych umożliwia zdalnym atakującym zmianę haseł dowolnych użytkowników bez podawania oryginalnego hasła, a także potencjalnie wykonywanie innych nieautoryzowanych działań, poprzez zmodyfikowane wartości w register.php.
Ocena ryzyka
Ta podatność stwarza poważne zagrożenie dla bezpieczeństwa, ponieważ umożliwia atakującym przejęcie kont użytkowników i dostęp do ich danych bez autoryzacji.
Rekomendacja
Zaleca się aktualizację ExtCalendar do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów autoryzacji przy zmianie haseł użytkowników.
Oryginalny opis (angielski, źródło NVD)
profile.php in ExtCalendar 2 and earlier allows remote attackers to change the passwords of arbitrary users without providing the original password, and possibly perform other unauthorized actions, via modified values to register.php.