{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cP\u003eCette vuln\u00e9rabilit\u00e9 des versions 4.6.x et 5.x du client Lotus  Notes est ind\u00e9pendante du syst\u00e8me exploitation.\u003c/P\u003e",
  "content": "## Description\n\nLe client Notes poss\u00e8de un outil permettant de faciliter l\u0027affichage de\ndonn\u00e9es dans un courrier. Il permet de saisir les informations qui\nseront envoy\u00e9es dans le document \u00e0 partir d\u0027un formulaire. Il est aussi\npossible d\u0027envoyer ce formulaire au destinataire du message pour le cas\no\u00f9 ce dernier ne le poss\u00e8de pas encore.\n\nIl est possible d\u0027ins\u00e9rer des scripts (LotusScript par exemple) dans ces\nformulaires. Selon son param\u00e9trage le client risque d\u0027ex\u00e9cuter le script\nautomatiquement \u00e0 la r\u00e9ception du courrier.\n\n## Contournement provisoire\n\nUtiliser les ECL (Execution Control List) comme indiqu\u00e9 dans l\u0027avis de\ns\u00e9curit\u00e9 de Lotus :\n\n    http://www.notes.net/today.nsf/9148b29c86ffdcd385256658007aaa0f/3a9da544637a69b2852568310078b649?OpenDocument\n",
  "cves": [],
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de Lotus :",
      "url": "http://support.lotus.com/sims2.nsf/eb5fbc0ab175cf0885256560005206cf/89e023ae7ee59e5d852569f90059fd5e?OpenDocument"
    }
  ],
  "reference": "CERTA-2001-AVI-024",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2001-03-01T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire"
    }
  ],
  "summary": "Un utilisateur mal intentionn\u00e9 peut, \u00e0 l\u0027aide d\u0027un formulaire Lotus\n(\u003cspan class=\"textit\"\u003eStored Form\u003c/span\u003e) habilement construit et ins\u00e9r\u00e9\ndans un courrier \u00e9lectronique, faire ex\u00e9cuter du code par le client de\nson destinataire.\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans la gestion des clients sous Lotus Notes",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Avis de Lotus",
      "url": null
    }
  ]
}