リモートホストは、XOOPS用のサードパーティモジュールを実行しています。 

リモートホストにインストールされているこのようなモジュールの少なくとも1つのバージョンに、PHPコードのインクルードに使用される前に、「spaw_control.class.php」スクリプトの「spaw_root」パラメーターに対するユーザー指定の入力のサニタイズに失敗するSPAW PHP WYSIWYGエディターコントロールのコピーが含まれています。PHPの「register_globals」設定が有効になっている場合は、認証されていない攻撃者が、この問題を悪用して、リモートホストで任意のファイルを表示したり、サードパーティホストからの任意のPHPコードを実行したりする可能性があります。

検出

XOOPS Multiple Modules spaw_control.class.php spaw_rootパラメーターのリモートファイルインクルード

high Nessus プラグイン ID 25372

変更ログが見つかりません