Удаленный административный доступ в Elite News

Уязвимость обнаружена в Elite News. Удаленный пользователь может получить административные на приложении.

Удаленный пользователь может обратиться к 'stats.php' сценарию, чтобы определить имя пользователя администратора. Пример:

/elitenews/stats.php

C этим именем пользователь может войти в систему через '/elitenews/login.html' страницу, используя имя администратора с пустым паролем. Затем удаленный пользователь может напрямую обратится к 'newspost.php' сценарию, чтобы послать сообщения как администратор системы. Другие сценарии ('modify.php', 'editordelete.php') могут быть также доступны удаленному пользователю.

Уязвимость обнаружена в Elite News 1.0.0.0 - 1.0.0.3b

Способов устранения обнаруженной уязвимости не существует в настоящее время.