Несколько уязвимостей в AJ-Fork

Описание: Несколько уязвимостей обнаружено в AJ-Fork. Удаленный пользователь может получить доступ к некоторым файлам и каталогам. Удаленный пользователь может определить инсталляционный путь. Локальный пользователь может получить административный доступ к приложению.

Удаленный пользователь может получить доступ к файлам в data, inc, plugisn, skins, и tools каталогах и может загрузить некоторые файлы в этих каталогах. Пример:

 http://[target]/ajfork/inc/main.mdu

http://localhost/ajfork/data/backup/[name of backup directory]

Некоторые сценарии могут быть вызваны напрямую, чтобы заставить систему отобразить инсталляционный путь. Уязвимые файлы: auto-acronyms.php, auto-archive.php, count-article-views.php, kses.php, custom-quick-tags.php, disable-all-comments.php , easy-date-format.php, enable-disable-comments.php, filter-by-author.php, format-switcher.php, long-to-short.php, prospective-posting.php, и sort-by-xfield.php.

URL производителя: http://appelsinjuice.org/?vis=cutenews-aj

Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.