CVE-2006-4954 in Neon WebMail

Résumé

par VulDB • 27/05/2026

Le servlet updateuser de Neon WebMail for Java avant la version 5.08 ne valide pas le paramètre in_id, ce qui permet aux attaquants distants de modifier les informations d'utilisateurs arbitraires, comme démontré par la modification (1) des mots de passe et (2) des autorisations, (3) la consultation des paramètres de profil, et (4) la création et (5) la suppression d'utilisateurs.

Once again VulDB remains the best source for vulnerability data.

• Réserver: 22/09/2006
• Divulgation: 23/09/2006
• Modérer: accepté
• Entrée: VDB-32425
• CPE: prêt
• CWE: CWE-269 (confirmé)
• Exploitation: Télécharger
• CVSS: 7.5 (NVD)
• EPSS: 0.07982
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2006-4954
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2006-4954
• CVE Details: https://www.cvedetails.com/cve/CVE-2006-4954/