CVE-2007-6495

Gravedad CVSS v2.0:

MEDIA

Tipo:

CWE-264 Permisos, privilegios y/o control de acceso

Fecha de publicación:

20/12/2007

Última modificación:

09/04/2025

Descripción

inc_newuser.asp en Hosting Controller 6.1 Hot fix 3.3 y anteriores, permite a usuarios remotos validados cambiar los permisos de los directorios llamados (1) db, (2) www, (3) Special, y (4) log en lugares de su elección bajo la raiz web a través de un parámetro Dirroot modificado en una acción AddUser en accounts/AccountActions.asp. NOTA: esto podría estar solapado con la ejecución de código de forma remota cambiando los permisos de \Forum\db, el cual se configura para la ejecución de secuencias de comandos de ASP con privilegios de administrador, y por lo tanto una actualización en la secuencia de comandos en \Forum\db.

Impacto

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico