Межсайтовый скриптинг и раскрытие пути в PHPNuke
| Дата публикации: | 19.12.2002 |
| Всего просмотров: | 1922 |
| Опасность: | |
| Наличие исправления: | |
| Количество уязвимостей: | 1 |
| CVE ID: | Нет данных |
| Вектор эксплуатации: | |
| Воздействие: | |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | |
| Описание: | Большинство файлов в PHPNuke включается в модули modules.php или index.php. Чтобы предотвратить прямой доступ к включаемым сценариям, PHPNuke содержит два способа защиты.
Первый (например, в modules/Downloads/index.php):
if (!eregi("modules.php", $PHP_SELF)) {
die ("You can't access this file directly...");
}
---------------------------------------------------
Второй (например, в footer.php ) :
------------------------------------
if (eregi("footer.php",$PHP_SELF)) {
Header("Location: index.php");
die();
}
Однако некоторые файлы не содержат такой защиты, и при прямом обращении к ним существует несколько проблем безопасности:
|