Уязвимость включения файла обнаружена в ashnews. Удаленный пользователь
может выполнить произвольные PHP команды на целевом сервере.
Сценарии ashnews.php и ashheadlines.php включают файл
ashprojects/newsconfig.php в переменной $pathtoashnews, не проверяя
правильность определения этой переменной. В результате удаленный
пользователь может определить удаленное местоположение для $pathtoashnews
каталога, чтобы включить произвольный файл
ashprojects/newsconfig.php, расположенный на сервере атакующего, который будет выполнен на целевой
системе с привилегиями Web сервера. Пример:
http://[target]/[ashweb dir]/ashnews.php?pathtoashnews=[remote location]
Уязвимость обнаружена в ashnews 0.83.
