CuteNews远程PHP代码注入执行漏洞_PHP教程

WBOY
發布: 2016-07-13 17:08:58
原創
1225 人瀏覽過

Cutenews是一款功能强大的新闻管理系统,使用平坦式文件存储。
Cutenews在处理用户提交的请求参数时存在漏洞,远程攻击者可能利用此漏洞在主机上执行任意命令。
在管理帐号编辑模板文件的时候,CuteNews不能正确的过滤用户输入。CuteNews从Web表单中获取HTML代码并将其输出到名为.tpl的模板文件中。该模板文件包含有类似以下的PHP代码:
--snip--
$template_active = [HTML template code]
HTML;
$template_full = [HTML template code]
HTML;
?>
--snap--
输入以下模板脚本:
--snip--
HTML;
[PHP code]
$fake_template = --snap--
管理帐号就可以执行PHP代码,导致在本地系统执行shell命令。

www.bkjia.comtruehttp://www.bkjia.com/PHPjc/629809.htmlTechArticleCutenews是一款功能强大的新闻管理系统,使用平坦式文件存储。 Cutenews在处理用户提交的请求参数时存在漏洞,远程攻击者可能利用此漏洞在...
來源:php.cn
本網站聲明
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn
熱門教學
更多>
最新下載
更多>
網站特效
網站源碼
網站素材
前端模板
關於我們 免責聲明 Sitemap
PHP中文網:公益線上PHP培訓,幫助PHP學習者快速成長!