Межсайтовое выполнение сценариев в phpCMS

Описание:
Обнаружено несколько уязвимостей в phpCMS. Удаленный атакующий может выполнить XSS атаку и получить данные об установочной директории приложения на сервере.

1. Межсайтовое выполнение сценариев возможно из-за ошибки при проверке входных данных параметра 'file' в файле 'parser.php'. Удаленный атакующий может создать специально сформированный URL и выполнить произвольный HTML код в браузере целевого пользователя. Пример:

http://[target]/parser/parser.php?file=<script>alert(document.cookie)</script>

2. Если phpCMS запущен в режиме отладки, удаленный пользователь может запросить несуществующий документ на сервере, что приведет к сообщению об ошибке и раскрытию установочной директории приложения на сервере. Пример:

http://[target]/parser/parser.php?file=donot exist

URL производителя: www.phpcms.de

Решение: Установите обновление
http://www.phpcms.de/download/index.en.html