Plgg settemplate.phpテンプレートパラメーターのローカルファイルインクルージョン

medium Nessus プラグイン ID 33848

Language:

概要

リモートWebサーバーに、ローカルファイルインクルードの脆弱性の影響を受けるアプリケーションが含まれています。

説明

リモートホストは、オープンソースコンテンツ管理システムのPliggを実行しています。

Pliggのインストールされているバージョンは、PHPコードをインクルードするために「config.php」で使用される前に、「template」cookieのサニタイズに失敗します。認証されていないリモート攻撃者が、この問題を悪用して、WebサーバーユーザーIDの権限に従って、任意のファイルを表示したり、任意のPHPコードを実行したりする可能性があります。

加えて、報告によると、クロスサイトスクリプティング、SQLインジェクション、ファイル列挙など、これに関連付けられた他の多くの問題が存在します。ただし、Nessusではそれらを確認していません。