Security Lab

Удаленное выполнение произвольного PHP кода в Greymatter weblog

Дата публикации:08.07.2003
Всего просмотров:968
Опасность:
Наличие исправления:
Количество уязвимостей:1
CVE ID: Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID: Нет данных
Наличие эксплоита: Нет данных
Уязвимые продукты:
Описание: Уязвимость в проверке правильности входных данных обнаружена в Greymatter weblog. Удаленный пользователь может выполнить произвольный PHP код на целевом сервере.

Программное обеспечение не фильтрует HTML код в данных, представленных пользователем в полях name, email, и URL. Также сообщается, что программа позволяет использовать конструкцию типа

 
'<script language="php">' и '<%'
Удаленный пользователь может вставить специально обработанный текст в одно из воздействуемых полей, чтобы выполнить произвольный PHP код с привилегиями Web сервера. Пример:
<script language="php">PHPCOMMAND;</script >
Уязвимость обнаружена в Greymatter Weblog 1.21d

Для устранения уязвимости, установите неофициальный патч:

http://www.kernelpanik.org/code/kernelpanik/gmc.zip

Ссылки: Greymatter v1.21d: Remote PHP command injection/execution.