漏洞起因
输入验证错误
影响系统
Xoops 2.3.3
不受影响系统
危害
远程攻击者可以利用漏洞以WEB权限查看系统文件内容。
攻击所需条件
攻击者必须访问XOOPS。
漏洞信息
XOOPS是一款开放源代码的内容管理程序。
XOOPS不正确处理用户提交的输入，远程攻击者可以利用漏洞以WEB权限查看系统文件内容。
问题是’module_icon.php’脚本对用户提交的参数缺少过滤，构建恶意文件作为包含参数，可导致以WEB权限查看系统文件内容。
测试方法
http://www.example.com/xoops_lib/modules/protector/module_icon.php?
厂商解决方案
目前没有解决方案提供：
http://sourceforge.net/projects/xbr/
漏洞提供者
Luca "daath" De Fulgentis
漏洞消息链接
http://www.securityfocus.com/bid/35407/
0 条评论。