Множественные уязвимости в W-Agora

Несколько уязвимостей обнаружено в форуме W-Agora. Удаленный пользователь может просматривать системную информацию. Удаленный пользователь, с привилегиями загрузки, может загрузить произвольный PHP код и затем выполнить его. Удаленный пользователь может выполнить XSS нападение.
1. Раскрытие чувствительной информации:

http://servername/w-agorapath/index.php?info

2. Раскрытие инсталляционного пути:

http://servername/w-agorapath/modules.php?mod=x&file=y

3. Выполнение произвольного PHP кода. Удаленный пользователь с привилегиями загрузки, может загрузить произвольный PHP файл в следующий каталог и затем выполнить его:
/forums/[sitename]/[forumname]/notes/attNr(see del_att[] checkbox).(filename.ext).[filename.extension]

4. Межсайтовый скриптинг обнаружен в поле 'avatar-URL' в 'profile.php' сценарии.

Уязвимость обнаружена в W-Agora 4.1.5

Для устранения уязвимости, установите обновленную версию программы, которую можно скачать отсюда:

http://cvs.sourceforge.net/cgi-bin/viewcvs.cgi/*checkout*/w-agora/w-agora4/modules.php3?rev=1.2
http: //cvs.sourceforge.net/cgi-bin/viewcvs.cgi/*checkout*/w-agora/w-agora4/index.php3?rev=1.15
http://cvs.sourceforge.net/cgi-bin/viewcvs.cgi/*checkout*/w-agora/w-agora4/in sert.php3?rev=1.78
http://cvs.sourceforge.net/cgi-bin/viewcvs.cgi/*checkout*/w-agora/w-agora4/update.php3?rev=1.63