XOOPSのリモートインストールは、いくつかのxoopseditorスクリプトの「xoopsConfig[language]」パラメーターへのユーザー指定の入力を、PHPの「include」関数で使用する前にサニタイズできません。認証されていない攻撃者が、これらの問題を悪用して、WebサーバーユーザーIDの権限に従って、任意のファイルを表示したり、任意のPHPコードを実行したりする可能性があります。問題の悪用が成功するには、PHPの「register_globals」設定が有効になっている必要があります。場合によっては、「magic_quotes_gpc」が無効になっている必要があります。

検出

XOOPS xoopsConfig[language]パラメーターのローカルファイルインクルード（XOOPS_WFd205_xpl）

medium Nessus プラグイン ID 20213

変更ログが見つかりません