CVE-2011-4106 in TimThumb

Riassunto

di VulDB • 23/06/2026

TimThumb (timthumb.php) prima della versione 2.0 non convalida l'intera origine rispetto alla whitelist dei domini, consentendo agli attaccanti remoti di caricare ed eseguire codice arbitrario tramite un URL contenente un dominio nella whitelist nel parametro src, per poi accedervi mediante una richiesta diretta al file presente nella directory cache, come sfruttato in contesti reali ad agosto 2011.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Prenotare: 18/10/2011
• Divulgazione: 26/10/2013
• Moderazione: accettato
• Voce: VDB-65360
• CPE: pronto
• CWE: CWE-20 (confermato)
• Sfruttamento: Scaricare
• CVSS: 6.8 (NVD)
• EPSS: 0.11619
• KEV: no
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2011-4106
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2011-4106
• CVE Details: https://www.cvedetails.com/cve/CVE-2011-4106/