CVE-2011-4106 in TimThumb

Résumé

par VulDB • 08/06/2026

TimThumb (timthumb.php) avant la version 2.0 ne valide pas l'intégralité de la source par rapport à la liste blanche de domaines, ce qui permet aux attaquants distants de télécharger et d'exécuter du code arbitraire via une URL contenant un domaine figurant sur la liste blanche dans le paramètre src, puis en y accédant via une requête directe vers le fichier situé dans le répertoire cache, comme exploité dans la nature en août 2011.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Réserver: 18/10/2011
• Divulgation: 26/10/2013
• Modérer: accepté
• Entrée: VDB-65360
• CPE: prêt
• CWE: CWE-20 (confirmé)
• Exploitation: Télécharger
• CVSS: 6.8 (NVD)
• EPSS: 0.11619
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2011-4106
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2011-4106
• CVE Details: https://www.cvedetails.com/cve/CVE-2011-4106/