CuteNews远程PHP代码注入执行漏洞-PHP安全-PHP教程-幽默笑话

您现在的位置:文学期刊 > 西方诗歌,time:2019-07-08 09:40
上一篇:宝宝多大学舞蹈比较合适 宝宝学舞蹈的注意事项 下一篇:没有了

CuteNews远程PHP代码注入执行漏洞-PHP安全-PHP教程-幽默笑话

文章内容CuteNews远程PHP代码注入执行漏洞修改时间:[2011/09/2105:14]阅读次数:[995]发表者:[起缘]Cutenews是一款功能强大的新闻管理系统,使用平坦式文件存储。

Cutenews在处理用户提交的请求参数时存在漏洞,远程攻击者可能利用此漏洞在主机上执行任意命令。

在管理帐号编辑模板文件的时候,CuteNews不能正确的过滤用户输入。 CuteNews从Web表单中获取HTML代码并将其输出到名为的模板文件中。 该模板文件包含有类似以下的PHP代码:--snip--PHP$template_active=HTML[HTMLtemplatecode]HTML;$template_full=HTML[HTMLtemplatecode]HTML;--snap--输入以下模板脚本:--snip--HTML;[PHPcode]$fake_template=HTML--snap--管理帐号就可以执行PHP代码,导致在本地系统执行shell命令。

*来源:JohnCantu()链接:*建议:厂商补丁:CutePHP-------目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:。


编辑推荐

友情链接