Rumah  >  Artikel  >  pembangunan bahagian belakang  >  CuteNews远程PHP代码注入执行漏洞_PHP

CuteNews远程PHP代码注入执行漏洞_PHP

WBOY
WBOYasal
2016-06-01 12:25:341530semak imbas

Cutenews是一款功能强大的新闻管理系统,使用平坦式文件存储。

Cutenews在处理用户提交的请求参数时存在漏洞,远程攻击者可能利用此漏洞在主机上执行任意命令。

在管理帐号编辑模板文件的时候,CuteNews不能正确的过滤用户输入。CuteNews从Web表单中获取HTML代码并将其输出到名为.tpl的模板文件中。该模板文件包含有类似以下的PHP代码:

--snip--
$template_active = [HTML template code]
HTML;
$template_full = [HTML template code]
HTML;
?>
--snap--

输入以下模板脚本:

--snip--
HTML;
[PHP code]
$fake_template = --snap--

管理帐号就可以执行PHP代码,导致在本地系统执行shell命令。

Jeian@myrealbox.com)
  
  链接:http://marc.theaimsgroup.com/?l=bugtraq&m=111773528322711&w=2
*>

建议:


厂商补丁:

CutePHP
-------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

www.CutePHP.com.

Kenyataan:
Kandungan artikel ini disumbangkan secara sukarela oleh netizen, dan hak cipta adalah milik pengarang asal. Laman web ini tidak memikul tanggungjawab undang-undang yang sepadan. Jika anda menemui sebarang kandungan yang disyaki plagiarisme atau pelanggaran, sila hubungi admin@php.cn