最新下载
热门教程
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
CuteNews远程PHP代码注入执行漏洞
时间：2022-07-02 09:18:23 编辑：袖梨 来源：一聚教程网
Cutenews是一款功能强大的新闻管理系统，使用平坦式文件存储。
Cutenews在处理用户提交的请求参数时存在漏洞，远程攻击者可能利用此漏洞在主机上执行任意命令。
在管理帐号编辑模板文件的时候，CuteNews不能正确的过滤用户输入。CuteNews从Web表单中获取HTML代码并将其输出到名为.tpl的模板文件中。该模板文件包含有类似以下的PHP代码：
--snip--
$template_active = <<
HTML;
$template_full = <<
HTML;
?>
--snap--
输入以下模板脚本：
--snip--
HTML;
[PHP code]
$fake_template = <<
管理帐号就可以执行PHP代码，导致在本地系统执行shell命令。
<*来源：John Cantu （
Cutenews在处理用户提交的请求参数时存在漏洞，远程攻击者可能利用此漏洞在主机上执行任意命令。
在管理帐号编辑模板文件的时候，CuteNews不能正确的过滤用户输入。CuteNews从Web表单中获取HTML代码并将其输出到名为
--snip--
$template_active = <<
HTML;
$template_full = <<
HTML;
?>
--snap--
输入以下模板脚本：
--snip--
HTML;
[PHP code]
$fake_template = <<
管理帐号就可以执行PHP代码，导致在本地系统执行shell命令。
<*来源：John Cantu （
相关文章
- 斗罗大陆猎魂世界武魂融合技如何发动 07-08
- 必须拿住：迈克尔·赛勒发布比特币牛市图表 07-08
- 大侠立志传爱猫失踪任务完成指南 07-08
- DOTA2电竞世界杯2025赛程一览 07-08
- YellowPencil Pro v7.6.7 WordPress 可视化 CSS 编辑插件 07-08
- 魔兽世界强力巨魔之血药水怎么获得-强力巨魔之血药水获取方法 07-08